BankGhost Builder

사이버 보안 연구원들이 텔레그램 기반 광고를 통해 '뱅크고스트 빌더(BankGhost Builder)'라는 악성코드 제작 플랫폼을 발견했습니다. 이 플랫폼은 명령 및 제어(C2) 기능과 피싱 유포 메커니즘, 사기 방지 기능을 통합한 뱅킹 트로이목마를 생성하도록 설계되었습니다. 해당 빌더는 텔레그램의 비공개 커뮤니티를 통해 유포되고 있는 것으로 알려져 있으며, 이는 서비스형 악성코드(MaaS) 사업의 급속한 확산에 대한 우려를 더욱 증폭시키고 있습니다.

해당 악성코드 프레임워크는 텔레그램과 연관된 위협 집단인 Infrastructure Destruction Squad(IDS), 일명 Dark Engine에 의해 판매되고 있습니다. 사이버 범죄 생태계 내에서의 이러한 홍보는 고도화된 악성코드 개발을 상업화하고 기술적 숙련도가 낮은 범죄자들도 금융 사이버 범죄에 더 쉽게 접근할 수 있도록 하려는 적극적인 시도를 보여줍니다.

기반시설 파괴반, 지하 영향력 확대

인프라 파괴 부대(IDS)는 2025년 후반에 두드러지게 등장하여 2026년 내내 가장 우려스러운 사이버 위협 중 하나로 꼽혔습니다. 주로 분산 서비스 거부(DDoS) 공격으로 시스템을 마비시키는 친러시아 해커 집단과는 달리, IDS는 산업 제어 시스템(ICS) 및 SCADA 환경에 대한 침입으로 주목을 받았습니다.

이 단체는 공격용 해킹 도구 홍보 및 탈취 데이터와 정보 유출 유출물 유포와 같은 지하 활동과도 연관되어 있습니다. 1,600명이 넘는 텔레그램 구독자를 보유한 이 그룹은 고도화된 공격 기능에 대한 접근성을 용이하게 함으로써 정교한 사이버 위협의 확산을 가속화하고 있습니다.

BankGhost Builder는 악성코드 배포와 사기 방지 운영을 결합한 솔루션입니다.

BankGhost Builder는 사이버 공격의 전체 라이프사이클을 지원할 수 있는 포괄적인 은행 악성코드 프레임워크로 광고되고 있습니다. 홍보 자료에 따르면 이 플랫폼은 인도, 북미, 유럽 및 아시아 태평양 지역에 걸쳐 700개 이상의 금융 기관을 지원합니다.

해당 빌더는 페이로드 생성, 피싱 인프라 구축, C2 배포 및 사기 실행을 단일 생태계로 통합합니다. 알려진 바에 따르면, 이 빌더는 기존 보안 도구의 탐지를 회피하도록 설계된 다형성 암호화, 프로세스 위장 및 페이로드 주입 기법을 포함한 다양한 기능을 제공합니다. 또한, 이 멀웨어는 HTTPS, DNS-over-HTTPS, Tor 및 WebSocket 프로토콜을 포함한 여러 통신 채널을 지원합니다.

이 플랫폼에는 자격 증명 탈취, 세션 하이재킹, 웹 삽입, 2단계 인증 우회 기법 등과 같은 직접적인 사기 방지 기능이 포함되어 있습니다. 이러한 기능은 Zeus, Dridex, TrickBot과 같은 잘 알려진 뱅킹 악성코드 계열과 매우 유사하지만, 배포가 더 쉬운 빌더 형식으로 제공됩니다.

진입 장벽이 낮아지면 금융 부문 위험이 증가합니다.

뱅크고스트 빌더의 등장은 사이버 범죄의 산업화가 지속되고 있음을 보여줍니다. 즉, 고도화된 공격 기능을 패키지화하고 마케팅하며 대규모로 배포하는 것입니다. 모듈식 아키텍처와 맞춤형 페이로드 생성 기능을 통해 정적인 침해 지표에 대한 의존도를 낮추고, 방어자의 공격 원인 파악 및 탐지 노력을 더욱 어렵게 만듭니다.

보안 분석가들은 이러한 도구의 광범위한 보급이 다음과 같은 몇 가지 주요 위협 추세를 가속화할 가능성이 있다고 경고합니다.

은행 고객과 직원을 대상으로 하는 피싱 기반 악성코드 공격이 증가하고 있습니다.
계정 탈취(ATO) 사건 증가 및 더욱 정교해진 지역적 사기 행위

이러한 발전은 이전에는 고도의 은행 공격을 독자적으로 수행할 전문 지식이 부족했던 사이버 범죄 집단의 작전 범위를 크게 확장할 수 있습니다.

금융기관, 방어 전략 강화 촉구

고도화된 뱅킹 악성코드 제작자들이 제기하는 위협이 증가함에 따라, 금융기관들은 정보 기반 및 행동 중심의 보안 전략을 채택하는 것이 좋습니다. 권장되는 방어 조치는 다음과 같습니다.

• 행동 분석을 통해 비정상적인 프로세스 실행, 클립보드 조작 및 화면 캡처 동작을 모니터링합니다.
• DNS-over-HTTPS 및 Tor 통신을 포함한 의심스러운 암호화 트래픽 패턴 탐지
• 첨부 파일 샌드박싱 및 MSI, DLL, EXE 파일과 같은 고위험 파일 형식에 대한 제한 등 엄격한 이메일 보안 제어를 시행합니다.
• 기기 지문 인식, 거래 이상 탐지 및 고급 행동 모니터링을 통해 사기 방지 프로그램을 강화합니다.

지하 사이버 범죄 조직들이 BankGhost Builder와 같은 정교한 악성코드 플랫폼의 도입 및 유포를 가속화함에 따라, 선제적이고 다층적인 방어 전략은 여전히 필수적입니다.