BankGhost Builder

Výzkumníci v oblasti kybernetické bezpečnosti odhalili reklamu založenou na Telegramu propagující „BankGhost Builder“, sofistikovanou platformu pro tvorbu malwaru navrženou pro generování bankovních trojských koní s integrovaným systémem Command-and-Control (C2), mechanismy pro doručování phishingových kódů a funkcemi zaměřenými na podvody. Tento nástroj je údajně distribuován prostřednictvím podzemních komunit Telegramu, což posiluje obavy z rychlé expanze operací Malware-as-a-Service (MaaS).

Tento malware framework propaguje na Telegram propojená skupina hrozeb známá jako Infrastructure Destruction Squad (IDS), známá také jako Dark Engine. Jeho propagace v ekosystémech kybernetické kriminality demonstruje aktivní snahu o komercializaci vývoje pokročilého malwaru a zpřístupnění finanční kybernetické kriminality méně technicky zdatným aktérům.

Jednotka pro ničení infrastruktury rozšiřuje vliv v podzemí

Skupina Infrastructure Destruction Squad se prominentně objevila koncem roku 2025 a po celý rok 2026 se řadí mezi nejznepokojivější kybernetické hrozby. Na rozdíl od mnoha proruských hacktivistických skupin, které se primárně spoléhají na rušivé útoky typu Distributed Denial-of-Service (DDoS), si IDS získala pozornost kvůli údajným narušením systémů průmyslového řízení (ICS) a SCADA.

Tato skupina je také spojována s podzemními aktivitami zahrnujícími propagaci útočných hackerských nástrojů a zveřejňování ukradených dat a úniků informací. S publikem na Telegramu přesahujícím 1600 odběratelů přispívá skupina k urychlenému šíření sofistikovaných kybernetických hrozeb tím, že zjednodušuje přístup k pokročilým útočným schopnostem.

BankGhost Builder kombinuje nasazení malwaru a operace proti podvodům

BankGhost Builder je inzerován jako komplexní framework pro bankovní malware schopný podporovat celý životní cyklus kybernetických útoků. Podle propagačních materiálů platforma nabízí podporu pro více než 700 bankovních institucí v Indii, Severní Americe, Evropě a asijsko-pacifickém regionu.

Tento nástroj integruje generování dat, phishingovou infrastrukturu, nasazení C2 a provádění podvodů do jednoho ekosystému. Jeho sada funkcí údajně zahrnuje polymorfní šifrování, maskování procesů a techniky vkládání dat, které jsou navrženy tak, aby se vyhnuly detekci tradičními bezpečnostními nástroji. Kromě toho malware podporuje více komunikačních kanálů, včetně protokolů HTTPS, DNS-over-HTTPS, Tor a WebSocket.

Platforma také obsahuje funkce pro přímé zvládání podvodů, jako je sběr přihlašovacích údajů, únos relací, webové injekce a techniky určené k obcházení ochrany dvoufaktorovým ověřováním. Tyto funkce se velmi podobají těm, které jsou spojovány se známými rodinami bankovního malwaru, včetně Zeus, Dridex a TrickBot, ale nyní jsou zabaleny do snadněji nasaditelného formátu pro tvorbu.

Nižší vstupní bariéry zvyšují riziko finančního sektoru

Vznik BankGhost Builderu odráží pokračující industrializaci kyberkriminality, kde jsou pokročilé útočné schopnosti baleny, prodávány a distribuovány ve velkém měřítku. Jeho modulární architektura a přizpůsobitelné generování dat snižují závislost na statických indikátorech kompromitace, což komplikuje obráncům úsilí o atribuci a detekci.

Bezpečnostní analytici varují, že široká dostupnost takových nástrojů pravděpodobně urychlí několik hlavních trendů hrozeb, včetně:

Zvýšený počet phishingových malwarových kampaní zaměřených na bankovní zákazníky a zaměstnance
Rostoucí počet incidentů převzetí účtů (ATO) a sofistikovanější lokalizované podvodné operace

Tento vývoj by mohl výrazně rozšířit operační dosah kyberzločinných skupin, které dříve postrádaly odborné znalosti k samostatnému provádění pokročilých bankovních útoků.

Finanční instituce vyzývány k posílení obranných strategií

Aby se zmírnila rostoucí hrozba, kterou představují pokročilí tvůrci bankovního malwaru, finanční instituce se vyzývají k přijetí bezpečnostních strategií zaměřených na inteligenci a chování. Mezi doporučená obranná opatření patří:

• Monitorování abnormálního provádění procesů, manipulace se schránkou a chování při snímání obrazovky pomocí behaviorální analýzy
• Detekce podezřelých šifrovaných vzorců provozu, včetně komunikace DNS-over-HTTPS a Tor
• Vynucování přísných bezpečnostních kontrol e-mailů, jako je sandboxing příloh a omezení pro vysoce rizikové typy souborů, včetně souborů MSI, DLL a EXE
• Vylepšení programů prevence podvodů prostřednictvím otisků prstů zařízení, detekce anomálií transakcí a pokročilého monitorování chování

Proaktivní a vícevrstvá obranná strategie zůstává nezbytná, jelikož podzemní kyberzločinecké komunity nadále zrychlují zavádění a distribuci sofistikovaných malwarových platforem, jako je BankGhost Builder.