BankGhost Builder
محققان امنیت سایبری یک تبلیغ مبتنی بر تلگرام را کشف کردهاند که «BankGhost Builder» را تبلیغ میکند، یک پلتفرم پیچیده ایجاد بدافزار که برای تولید تروجانهای بانکی با قابلیت یکپارچهسازی فرماندهی و کنترل (C2)، مکانیسمهای ارائه فیشینگ و قابلیتهای متمرکز بر کلاهبرداری طراحی شده است. طبق گزارشها، این سازنده از طریق انجمنهای زیرزمینی تلگرام توزیع میشود و نگرانیها در مورد گسترش سریع عملیات بدافزار به عنوان سرویس (MaaS) را افزایش میدهد.
این چارچوب بدافزار توسط یک گروه تهدید مرتبط با تلگرام به نام «جوخه تخریب زیرساخت» (IDS) که با نام Dark Engine نیز شناخته میشود، به بازار عرضه میشود. تبلیغ آن در اکوسیستمهای جرایم سایبری، نشاندهنده تلاش فعال برای تجاریسازی توسعه بدافزارهای پیشرفته و در دسترستر کردن جرایم سایبری مالی برای بازیگران کممهارتتر است.
فهرست مطالب
جوخه تخریب زیرساختها نفوذ زیرزمینی خود را گسترش میدهد
گروه تخریب زیرساختها (Infrastructure Destruction Squad) در اواخر سال ۲۰۲۵ به طور برجستهای ظهور کرد و در طول سال ۲۰۲۶ همچنان در میان نگرانکنندهترین تهدیدات سایبری قرار داشته است. برخلاف بسیاری از گروههای هکری طرفدار روسیه که عمدتاً به حملات مختلکنندهی DDoS متکی هستند، IDS به دلیل نفوذهای ادعایی مربوط به سیستمهای کنترل صنعتی (ICS) و محیطهای SCADA مورد توجه قرار گرفته است.
این گروه همچنین با فعالیتهای زیرزمینی شامل تبلیغ ابزارهای هک تهاجمی و انتشار دادههای سرقت شده و نشت اطلاعات مرتبط دانسته شده است. این گروه با بیش از ۱۶۰۰ مشترک در تلگرام، با سادهسازی دسترسی به قابلیتهای پیشرفته حمله، در گسترش سریع تهدیدات سایبری پیچیده نقش دارد.
BankGhost Builder عملیات استقرار بدافزار و کلاهبرداری را با هم ترکیب میکند
BankGhost Builder به عنوان یک چارچوب جامع بدافزار بانکی که قادر به پشتیبانی از کل چرخه عمر حملات سایبری است، تبلیغ میشود. طبق مطالب تبلیغاتی، این پلتفرم از بیش از ۷۰۰ موسسه بانکی در هند، آمریکای شمالی، اروپا و منطقه آسیا و اقیانوسیه پشتیبانی میکند.
این سازنده، تولید بار داده، زیرساخت فیشینگ، استقرار C2 و اجرای کلاهبرداری را در یک اکوسیستم واحد ادغام میکند. طبق گزارشها، مجموعه ویژگیهای آن شامل رمزگذاری چندریختی، تغییر شکل فرآیند و تکنیکهای تزریق بار داده است که برای جلوگیری از شناسایی توسط ابزارهای امنیتی سنتی طراحی شدهاند. علاوه بر این، این بدافزار از کانالهای ارتباطی متعددی از جمله پروتکلهای HTTPS، DNS-over-HTTPS، Tor و WebSocket پشتیبانی میکند.
این پلتفرم همچنین شامل عملکردهای فعالسازی مستقیم کلاهبرداری مانند برداشت اعتبارنامه، ربودن جلسه، تزریق وب و تکنیکهایی است که برای دور زدن محافظتهای احراز هویت دو مرحلهای در نظر گرفته شدهاند. این قابلیتها شباهت زیادی به قابلیتهای مرتبط با خانوادههای بدافزار بانکی شناختهشده از جمله Zeus، Dridex و TrickBot دارند، اما اکنون در قالب سازندهای با قابلیت استقرار آسانتر بستهبندی شدهاند.
موانع کمتر برای ورود، ریسک بخش مالی را افزایش میدهد
ظهور BankGhost Builder نشان دهنده صنعتی شدن مداوم جرایم سایبری است، جایی که قابلیتهای تهاجمی پیشرفته بستهبندی، به بازار عرضه و در مقیاس وسیع توزیع میشوند. معماری ماژولار و تولید پیلود قابل تنظیم آن، وابستگی به شاخصهای استاتیک نفوذ را کاهش میدهد و تلاشهای شناسایی و تشخیص را برای مدافعان پیچیده میکند.
تحلیلگران امنیتی هشدار میدهند که دسترسی گسترده به چنین ابزارهایی احتمالاً چندین روند تهدید عمده را تسریع میکند، از جمله:
افزایش کمپینهای بدافزار مبتنی بر فیشینگ که مشتریان و کارمندان بانکی را هدف قرار میدهند
افزایش حوادث تصاحب حساب (ATO) و عملیات کلاهبرداری محلی پیچیدهتر
این تحولات میتواند به طور قابل توجهی دامنه عملیاتی گروههای مجرمان سایبری را که قبلاً فاقد تخصص لازم برای انجام حملات بانکی پیشرفته به طور مستقل بودند، گسترش دهد.
از موسسات مالی خواسته شد تا استراتژیهای دفاعی خود را تقویت کنند
برای کاهش تهدید رو به رشد ناشی از سازندگان بدافزارهای پیشرفته بانکی، به موسسات مالی توصیه میشود که استراتژیهای امنیتی مبتنی بر هوش و رفتار را اتخاذ کنند. اقدامات دفاعی توصیه شده عبارتند از:
- نظارت بر اجرای غیرعادی فرآیند، دستکاری کلیپبورد و رفتار ضبط صفحه نمایش از طریق تجزیه و تحلیل رفتاری
- تشخیص الگوهای ترافیک رمزگذاری شده مشکوک، از جمله ارتباطات DNS-over-HTTPS و Tor
- اعمال کنترلهای امنیتی سختگیرانه ایمیل مانند سندباکس کردن پیوستها و اعمال محدودیت بر انواع فایلهای پرخطر از جمله فایلهای MSI، DLL و EXE
- تقویت برنامههای پیشگیری از کلاهبرداری از طریق اثر انگشت دستگاه، تشخیص ناهنجاری تراکنشها و نظارت رفتاری پیشرفته
با توجه به اینکه جوامع مجرمان سایبری زیرزمینی همچنان به سرعت در حال پذیرش و توزیع پلتفرمهای بدافزار پیچیدهای مانند BankGhost Builder هستند، یک استراتژی دفاعی پیشگیرانه و لایهای همچنان ضروری است.
