Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC disponible 24/7. Prueba Huntress gratis y despliégalo en minutos para empezar a combatir amenazas.
¿Qué es el malware FormBook?
FormBook es un tipo de spyware conocido por su capacidad de robo de datos. Está diseñado para recopilar una variedad de información confidencial, incluyendo credenciales de inicio de sesión, datos de autocompletado del navegador y más, a menudo aprovechando técnicas sofisticadas para evadir la detección. Comúnmente distribuido a través de phishing por correo electrónico o kits de explotación, FormBook es muy flexible, lo que lo convierte en una herramienta favorita de los cibercriminales. Entre sus alias destacados se encuentra XLoader, una variante estrechamente relacionada con funcionalidades superpuestas.
¿Cuándo se descubrió FormBook por primera vez?
FormBook se identificó por primera vez en 2016 y ha llamado la atención de los investigadores de seguridad por su persistencia y sus actualizaciones constantes. A pesar de sus orígenes hace varios años, sigue siendo una amenaza persistente, ya que los cibercriminales lo adaptan para evadir las medidas de seguridad en constante evolución.
¿Quién creó FormBook?
Aunque se desconocen las personas o el grupo exacto detrás de FormBook, su amplia disponibilidad en foros clandestinos y su atractivo para cibercriminales principiantes sugieren que se trata de un malware como servicio de tipo comodity.
¿A qué apunta FormBook?
FormBook se dirige principalmente a sistemas operativos Windows, con un enfoque en exfiltrar datos de pequeñas y medianas empresas y grandes organizaciones en diversas industrias. Se ha detectado en campañas de phishing a nivel mundial, y afecta con frecuencia a industrias específicas como la salud, las finanzas y la manufactura.
Método de distribución de FormBook
El malware FormBook se distribuye comúnmente a través de correos de phishing que contienen archivos adjuntos maliciosos, como PDFs, archivos de Microsoft Office o archivos ZIP. Otros canales de distribución incluyen kits de exploits alojados en sitios web comprometidos que aprovechan vulnerabilidades de software.
Análisis técnico del malware FormBook
FormBook opera mediante una cadena de infección de múltiples etapas que incluye la descarga y ejecución de una carga maliciosa. Tras la ejecución inicial, procede a establecer mecanismos de persistencia, como la modificación del registro de Windows. Su carga útil permite el registro de teclas, el monitoreo del portapapeles y la exfiltración de datos. Técnicas avanzadas de ofuscación, incluyendo empaquetadores y comunicación cifrada con servidores de comando y control (C2), dificultan la detección del malware.
Tácticas, técnicas y procedimientos (TTPs)
MITRE ATT&CK Técnicas:
T1059 – Intérprete de comandos y scripts
T1071 – Protocolo de capa de aplicación
T1056 – Captura de entrada (registro de teclas)
Rasgos de comportamiento:
Secuestra el portapapeles para capturar datos sensibles
Cifra el tráfico saliente hacia servidores C2
Utiliza mecanismos de persistencia como claves de registro de ejecución automática
Indicadores de compromiso (IoCs)
Direcciones IP:
192.0.xxx.xxx
Dominios:
malwarecommand[.]com
Hashes de archivos:
e4b9d8dxxxxxxxxxxxxxxxxxxxxxx9433
¿Cómo saber si estás infectado con FormBook?
Los posibles indicadores de infección por FormBook incluyen ralentizaciones inexplicables del sistema, alta actividad de red saliente hacia IPs desconocidas y robos inesperados de credenciales. Los usuarios también pueden detectar actividades inexplicables en el portapapeles o procesos en segundo plano ejecutándose sin un contexto claro.
Instrucciones para eliminar FormBook
Para eliminar FormBook manualmente, aísla de inmediato la máquina infectada de la red. Usa herramientas como el Administrador de tareas para identificar procesos sospechosos, y elimina los archivos y entradas del registro relacionados. Para una eliminación más eficiente y efectiva, usa soluciones EDR avanzadas, como Huntress, capaces de detectar las tácticas sofisticadas de FormBook y garantizar una remediación completa.
¿FormBook sigue activo?
Sí, FormBook sigue siendo una amenaza activa, con actualizaciones frecuentes que lo hacen resistente a la detección. Variantes como XLoader demuestran que sus desarrolladores están comprometidos con evolucionar el malware para que siga siendo efectivo contra las defensas modernas.
Estrategias de mitigación y prevención
Para prevenir infecciones por FormBook, implementa medidas de seguridad en capas, como habilitar la autenticación multifactor (MFA), restringir la ejecución de macros en archivos de Office y desplegar soluciones EDR como Huntress. Prioriza la security awareness training para que los usuarios reconozcan intentos de phishing y asegúrate de que todo el software esté parchado y actualizado. El monitoreo 24/7 de Huntress puede ayudar a las organizaciones a detectar y mitigar amenazas como FormBook antes de que causen daños significativos.
Artículos educativos y videos relacionados
Preguntas frecuentes sobre el malware FormBook
FormBook es un spyware diseñado para robar información sensible, como credenciales de inicio de sesión y pulsaciones de teclas. Lo logra monitoreando los datos del portapapeles, registrando la entrada del usuario y exfiltrando datos a sus servidores de comando y control.
FormBook se propaga comúnmente a través de correos de phishing que contienen archivos adjuntos maliciosos, como documentos de Office o archivos ZIP. También puede distribuirse mediante kits de exploits que aprovechan vulnerabilidades sin parchar.
Sí, FormBook y sus variantes, como XLoader, continúan representando amenazas debido a las actualizaciones frecuentes que mejoran sus técnicas de evasión. Sigue activo en campañas de phishing en todo el mundo.
Las organizaciones pueden protegerse contra FormBook capacitando a los empleados para reconocer intentos de phishing, habilitando la autenticación multifactor y desplegando tecnologías avanzadas comoHuntress EDR para el monitoreo continuo y la remediación.
