Blog
Formbook, también conocido en su versión más reciente como XLoader, es uno de los info-stealers más persistentes y comercializados del ecosistema cibercriminal. Su diseño modular, bajo costo y facilidad de uso lo han convertido en una herramienta popular tanto en foros de hacking como en campañas maliciosas a escala global. A pesar de haber sido detectado por primera vez en 2016, su evolución como XLoader (desde 2020) le ha permitido mantenerse vigente y relevante en múltiples campañas dirigidas a empresas, usuarios finales e incluso gobiernos 🌐.
En el contexto actual, donde la información sensible fluye constantemente por formularios web, correos y navegadores, este malware representa una amenaza directa a la confidencialidad de credenciales y datos financieros.
Lenguaje y plataforma
Formbook está desarrollado principalmente en C y es distribuido como binario ejecutable para Windows. Su sucesor, XLoader, también incluye versiones para macOS, ampliando su superficie de ataque.
Funcionalidades principales
Técnicas de evasión
Arquitectura simplificada del malware:
[Inicio]
↓
[Descompresión y evasión]
↓
[Inyección en proceso legítimo]
↓
[Captura de datos del sistema]
↓
[Transmisión a C2]
Formbook/XLoader se propaga principalmente mediante:
Estos vectores suelen ir acompañados de técnicas de ingeniería social muy pulidas, como documentos con títulos corporativos o facturas falsas.
Investigadores de Check Point descubrieron una ola de ataques que usaban XLoader para espiar empresas de defensa en EE.UU. y Europa. Los correos incluían documentos señuelo con detalles de contratos y licitaciones. La persistencia del malware y su bajo nivel de detección generaron alarma en entornos críticos.
La evolución de XLoader permitió infectar equipos Apple por primera vez, utilizando archivos .jar disfrazados como instaladores legítimos. Esto marcó un hito, ya que muy pocos info-stealers eran efectivos en ese ecosistema. Fue reportado por SentinelOne y otros investigadores.
Formbook es considerado un "malware-as-a-service" (MaaS), y no se le atribuye a un grupo APT específico. Sin embargo:
El hecho de que su código fuente no se haya filtrado públicamente (a diferencia de otros como Azorult o Raccoon) le da una ventaja operativa a sus desarrolladores originales.
Estos son algunos IOCs observados en campañas recientes:
Hashes de muestra
Nombres de archivos comunes
Direcciones de comando y control (C2)
Direcciones IP relacionadas
Dominios asociados
Prevención
Detección
Mitigación y respuesta
Formbook y su evolución como XLoader representan una amenaza sólida en el ecosistema actual por su adaptabilidad, bajo costo y capacidad multiplataforma. Si bien no es tan sofisticado como un malware de tipo APT, su alta propagación y efectividad lo convierten en un riesgo relevante para empresas de todos los tamaños.
⚠️ La capacidad de capturar credenciales sin interacción posterior, unida al sigilo con el que opera, lo posiciona como una herramienta predilecta de ciberdelincuentes. Mantener una postura de defensa en profundidad y cultura de seguridad en la organización es clave para reducir su impacto.
