BankGhost Builder

Cybersikkerhedsforskere har afdækket en Telegram-baseret reklame, der promoverer 'BankGhost Builder', en sofistikeret platform til oprettelse af malware, der er designet til at generere banktrojanere med integreret kommando-og-kontrol (C2), phishing-leveringsmekanismer og svindelfokuserede funktioner. Builderen distribueres angiveligt gennem undergrunds-Telegram-fællesskaber, hvilket forstærker bekymringen over den hurtige udvidelse af Malware-as-a-Service (MaaS)-operationer.

Malware-rammeværket markedsføres af et Telegram-forbundet trusselskollektiv kendt som Infrastructure Destruction Squad (IDS), også kendt som Dark Engine. Dets promovering inden for cyberkriminelle økosystemer demonstrerer en aktiv indsats for at kommercialisere avanceret malwareudvikling og gøre finansiel cyberkriminalitet mere tilgængelig for mindre teknisk dygtige aktører.

Infrastrukturødelæggelsesgruppen udvider sin underjordiske indflydelse

Infrastructure Destruction Squad fremstod markant i slutningen af 2025 og har fortsat været blandt de mest bekymrende cybertrusler i løbet af 2026. I modsætning til mange pro-russiske hacktivistgrupper, der primært er afhængige af forstyrrende Distributed Denial-of-Service (DDoS)-angreb, har IDS fået opmærksomhed for påståede indtrængen, der involverer industrielle kontrolsystemer (ICS) og SCADA-miljøer.

Kollektivet har også været forbundet med undergrundsaktiviteter, der involverer promovering af offensive hackingværktøjer og offentliggørelse af stjålne data og lækager fra brud. Med et Telegram-publikum på over 1.600 abonnenter bidrager gruppen til den accelererede spredning af sofistikerede cybertrusler ved at forenkle adgangen til avancerede angrebskapaciteter.

BankGhost Builder kombinerer malware-implementering og svindeloperationer

BankGhost Builder markedsføres som et omfattende malware-framework til banker, der er i stand til at understøtte hele cyberangrebs livscyklus. Ifølge reklamemateriale tilbyder platformen support til mere end 700 bankinstitutioner i Indien, Nordamerika, Europa og Asien-Stillehavsområdet.

Programbyggeren integrerer nyttelastgenerering, phishing-infrastruktur, C2-implementering og udførelse af svindel i et enkelt økosystem. Funktionerne omfatter angiveligt polymorf kryptering, procesmaskering og nyttelastinjektionsteknikker designet til at undgå detektion af traditionelle sikkerhedsværktøjer. Derudover understøtter malwaren flere kommunikationskanaler, herunder HTTPS, DNS-over-HTTPS, Tor og WebSocket-protokoller.

Platformen indeholder også direkte funktioner til aktivering af svindel, såsom indsamling af legitimationsoplysninger, sessionskapning, webinjects og teknikker, der har til formål at omgå tofaktorgodkendelse. Disse funktioner minder meget om dem, der er forbundet med velkendte bankmalwarefamilier, herunder Zeus, Dridex og TrickBot, men er nu pakket i et brugervenligt builderformat.

Lavere adgangsbarrierer øger risikoen i den finansielle sektor

Fremkomsten af BankGhost Builder afspejler den fortsatte industrialisering af cyberkriminalitet, hvor avancerede offensive funktioner pakkes, markedsføres og distribueres i stor skala. Dens modulære arkitektur og brugerdefinerede nyttelastgenerering reducerer afhængigheden af statiske indikatorer for kompromittering, hvilket komplicerer attributions- og detektionsindsatsen for forsvarere.

Sikkerhedsanalytikere advarer om, at den udbredte tilgængelighed af sådanne værktøjer sandsynligvis vil accelerere flere store truslens tendenser, herunder:

Flere phishing-drevne malwarekampagner rettet mod bankkunder og -medarbejdere
Stigende antal kontoovertagelser (ATO) og mere sofistikerede lokale svindeloperationer

Disse udviklinger kan betydeligt udvide den operationelle rækkevidde for cyberkriminelle grupper, der tidligere manglede ekspertise til at udføre avancerede bankangreb uafhængigt.

Finansielle institutioner opfordres til at styrke defensive strategier

For at afbøde den voksende trussel fra avancerede malware-programmer for bankvirksomheder opfordres finansielle institutioner til at anvende efterretningsdrevne og adfærdsfokuserede sikkerhedsstrategier. Anbefalede defensive foranstaltninger omfatter:

• Overvågning af unormal procesudførelse, manipulation af udklipsholder og skærmbilleders adfærd gennem adfærdsanalyse
• Detektering af mistænkelige krypterede trafikmønstre, herunder DNS-over-HTTPS og Tor-kommunikation
• Håndhævelse af strenge e-mailsikkerhedskontroller, såsom sandboxing af vedhæftede filer og begrænsninger på højrisikofiltyper, herunder MSI-, DLL- og EXE-filer.
• Forbedring af programmer til forebyggelse af svindel gennem enhedsfingeraftryk, detektion af transaktionsanomalier og avanceret adfærdsovervågning

En proaktiv og lagdelt forsvarsstrategi er fortsat afgørende, da undergrundsmiljøer af cyberkriminelle fortsætter med at accelerere adoptionen og distributionen af sofistikerede malwareplatforme som BankGhost Builder.