Kampanie FormBook wykorzystują wielowarstwowe zaciemnianie, by omijać detekcję

securitybeztabu.pl 4 godzin temu

Wprowadzenie do problemu / definicja

FormBook to dobrze znany infostealer działający w modelu malware-as-a-service, którego głównym celem jest kradzież danych uwierzytelniających, przechwytywanie naciśnięć klawiszy, wykonywanie zrzutów ekranu oraz eksfiltracja informacji z systemów Windows. Najnowsze kampanie pokazują, iż operatorzy tego zagrożenia coraz wyraźniej koncentrują się na ukrywaniu pełnego łańcucha infekcji, łącząc phishing, archiwa ZIP, skrypty oraz techniki utrudniające analizę i wykrywanie przez rozwiązania ochronne.

To sprawia, iż FormBook pozostaje istotnym problemem zarówno dla małych firm, jak i dużych organizacji. Zagrożenie nie ogranicza się wyłącznie do pojedynczej infekcji stacji roboczej, ale może stać się początkiem dalszej kompromitacji kont, usług chmurowych i infrastruktury wewnętrznej.

W skrócie

Obserwowane kampanie FormBook opierają się na wieloetapowym łańcuchu dostarczenia, w którym złośliwy ładunek jest ukrywany dzięki kilku warstw skryptów i technik obfuskacji. Taki model ma ograniczyć skuteczność klasycznych mechanizmów detekcji, utrudnić analizę statyczną i zwiększyć prawdopodobieństwo uruchomienia malware na urządzeniu ofiary.

Punkt wejścia stanowi najczęściej phishing z archiwum lub plikiem udającym dokument.
Łańcuch infekcji wykorzystuje wiele etapów pośrednich zamiast pojedynczego pliku wykonywalnego.
Skrypty są zaciemniane i odwołują się do legalnych komponentów systemowych.
Celem atakujących jest obejście EDR i AV oraz utrudnienie pracy analitykom.
Po infekcji FormBook kradnie poświadczenia i dane z aplikacji oraz przeglądarek.

Kontekst / historia

FormBook funkcjonuje w ekosystemie cyberprzestępczym od 2016 roku i przez lata zbudował reputację jednego z najbardziej rozpowszechnionych stealerów dla systemu Windows. Popularność tej rodziny malware wynika z niskiego progu wejścia dla operatorów kampanii, gotowej infrastruktury oraz skuteczności w pozyskiwaniu danych, które mogą zostać wykorzystane do przejęcia kont lub sprzedane na forach przestępczych.

W poprzednich latach FormBook był dystrybuowany przede wszystkim poprzez wiadomości phishingowe, złośliwe dokumenty, archiwa oraz skrypty uruchamiające kolejne etapy infekcji. w tej chwili kampanie są bardziej złożone i coraz częściej wykorzystują warstwowe zaciemnianie oraz techniki living off the land, aby obniżyć skuteczność detekcji opartej na sygnaturach i wydłużyć czas potrzebny na analizę próbki.

Analiza techniczna

W analizowanych kampaniach punkt wejścia to zwykle wiadomość phishingowa z załącznikiem w postaci archiwum lub pliku podszywającego się pod nieszkodliwy dokument. Po jego otwarciu uruchamiany jest pierwszy skrypt odpowiedzialny za przygotowanie środowiska, rozpakowanie kolejnych komponentów oraz uruchomienie następnego etapu. Zamiast jednego artefaktu wykonywalnego atakujący stosują sekwencję zależnych od siebie elementów, co rozprasza logikę ataku.

Kluczowym elementem kampanii jest wielowarstwowa obfuskacja. Skrypty zawierają zaciemniony kod, ukryte ciągi znaków, dynamicznie rekonstruowane polecenia oraz odwołania do legalnych komponentów systemowych. Taka konstrukcja ogranicza skuteczność sygnatur opartych na statycznych wzorcach i zmusza obrońców do analizy behawioralnej, korelacji zdarzeń oraz śledzenia pełnego łańcucha procesów.

W tego typu kampaniach FormBook może być uruchamiany również z użyciem technik takich jak DLL sideloading, in-memory execution czy procesy pośrednie, które zmniejszają widoczność malware na hoście. Dodatkowo operatorzy stosują zaśmiecony kod JavaScript lub Visual Basic Script, aby ukryć adekwatną logikę ładowania próbki. W efekcie pojedynczy etap infekcji może wyglądać niegroźnie, jeżeli zostanie oceniony bez szerszego kontekstu.

Po skutecznym uruchomieniu malware przechodzi do działań typowych dla infostealera. Obejmuje to zbieranie zapisanych poświadczeń, monitorowanie aktywności użytkownika, pozyskiwanie danych z przeglądarek i aplikacji oraz komunikację z infrastrukturą dowodzenia i kontroli. W zależności od konfiguracji kampanii skradzione informacje mogą zostać wykorzystane do dalszych ataków, przejęć kont, oszustw finansowych lub wdrożenia kolejnych rodzin malware.

Konsekwencje / ryzyko

Największe ryzyko związane z FormBook nie wynika wyłącznie z samej obecności malware na stacji końcowej, ale z utraty danych uwierzytelniających i możliwości rozszerzenia dostępu przez atakującego. Kradzież haseł, sesji przeglądarkowych i danych formularzy może prowadzić do przejęcia poczty, usług SaaS, paneli administracyjnych oraz dostępu VPN.

W środowisku firmowym choćby pojedyncza stacja robocza użytkownika może stać się punktem startowym dla dalszego ruchu bocznego. Wielowarstwowe zaciemnianie dodatkowo zwiększa ryzyko przeoczenia incydentu przez klasyczne rozwiązania bezpieczeństwa, szczególnie jeżeli organizacja nie prowadzi monitoringu behawioralnego, analizy procesów potomnych i korelacji zdarzeń z warstwy pocztowej.

Istotnym problemem jest także to, iż stealer może stanowić tylko jeden element większego łańcucha przestępczego. Dane pozyskane przez FormBook często służą do przejęć kont uprzywilejowanych, fraudów, dostarczenia ransomware albo sprzedaży dostępu początkowego innym grupom cyberprzestępczym.

Rekomendacje

Organizacje powinny wdrożyć wielowarstwową ochronę poczty elektronicznej obejmującą skanowanie archiwów, analizę sandboxową załączników oraz blokowanie podejrzanych typów plików, w szczególności skryptów i skrótów uruchamiających procesy systemowe. Warto również ograniczyć możliwość uruchamiania interpreterów skryptowych tam, gdzie nie są uzasadnione biznesowo.

Równie ważne jest monitorowanie łańcuchów procesów, takich jak klient pocztowy lub przeglądarka inicjujące uruchomienie archiwizatorów, interpreterów skryptów, narzędzi systemowych i nietypowych bibliotek DLL. Rozwiązania EDR powinny wykrywać anomalie związane z wykonywaniem kodu z katalogów tymczasowych, ładowaniem bibliotek z niestandardowych ścieżek oraz zachowaniami wskazującymi na DLL sideloading.

Wymuś uwierzytelnianie wieloskładnikowe dla poczty, usług zdalnych i systemów krytycznych.
Wdróż polityki Application Control i ogranicz uruchamianie skryptów.
Regularnie szkol użytkowników z rozpoznawania phishingu i podejrzanych załączników.
Monitoruj nietypowe uruchomienia VBS i JS oraz aktywność w katalogach tymczasowych.
Po wykryciu infekcji natychmiast izoluj hosta i resetuj poświadczenia użytkownika.

Podsumowanie

FormBook pozostaje groźnym i elastycznym zagrożeniem, ponieważ łączy skuteczny model kradzieży danych z rozwijanym łańcuchem dostarczenia. Najnowsze kampanie pokazują wyraźny trend w kierunku wieloetapowej obfuskacji, wykorzystania skryptów oraz technik ukrywania wykonywania kodu.

Dla zespołów bezpieczeństwa oznacza to konieczność odejścia od wyłącznie sygnaturowego podejścia na rzecz analizy behawioralnej, lepszej widoczności telemetrii oraz ścisłej kontroli procesów uruchamianych z poczty, archiwów i katalogów tymczasowych. Skuteczna obrona przed FormBook wymaga połączenia prewencji, detekcji i szybkiego reagowania.