ComicForm est un acteur émergent de la cybermenace suivi depuis au moins avril 2025, spécialisé dans les campagnes d'hameçonnage ciblé contre des organisations de pays eurasiens, notamment la Biélorussie, le Kazakhstan et la Russie, souvent dans des secteurs tels que la banque, la production et les infrastructures critiques. Le groupe déploie le logiciel malveillant voleur d'informations FormBook au moyen de chargeurs sophistiqués : un exécutable .NET obfusqué décompresse MechMatrix Pro.dll, qui déchiffre et exécute en mémoire le dropper Montero.dll pour livrer FormBook, en établissant une persistance via des tâches planifiées et des exclusions antivirus tout en échappant à la détection. Les binaires malveillants intègrent de manière unique des liens Tumblr vers d'inoffensifs GIF de super-héros de bandes dessinées (par exemple Batman), dont l'acteur tire son nom, aux côtés de leurres d'hameçonnage thématisés autour du recrutement, de devis ou d'installations de production, utilisant des services de messagerie gratuits russes comme Rivet_kz. Actif jusqu'à au moins septembre 2025, sans recoupement confirmé avec d'autres acteurs tels que le pro-russe SectorJ149 malgré des opérations eurasiennes concomitantes, ComicForm fait preuve d'une maîtrise de la personnalisation de logiciels malveillants courants et du ciblage régional.
References
Actor metadata imported from Malpedia (Fraunhofer FKIE).