BankGhost Builder

Forskere innen nettsikkerhet har avdekket en Telegram-basert annonse som promoterer «BankGhost Builder», en sofistikert plattform for opprettelse av skadelig programvare som er utviklet for å generere banktrojanere med integrert kommando-og-kontroll (C2), phishing-leveringsmekanismer og svindelfokuserte funksjoner. Byggeren distribueres angivelig gjennom underjordiske Telegram-fellesskap, noe som forsterker bekymringen over den raske utvidelsen av Malware-as-a-Service (MaaS)-operasjoner.

Rammeverket for skadelig programvare markedsføres av et Telegram-tilknyttet trusselkollektiv kjent som Infrastructure Destruction Squad (IDS), også sporet som Dark Engine. Markedsføringen innenfor nettkriminelle økosystemer viser en aktiv innsats for å kommersialisere avansert utvikling av skadelig programvare og gjøre økonomisk nettkriminalitet mer tilgjengelig for mindre teknisk dyktige aktører.

Infrastrukturødeleggelsesgruppen utvider undergrunnsinnflytelse

Infrastructure Destruction Squad dukket opp fremtredende sent i 2025 og har fortsatt å være blant de mest bekymringsfulle cybertruslene gjennom hele 2026. I motsetning til mange pro-russiske hacktivistgrupper som primært er avhengige av forstyrrende distribuerte tjenestenektangrep (DDoS), har IDS fått oppmerksomhet for påståtte inntrenginger som involverer industrielle kontrollsystemer (ICS) og SCADA-miljøer.

Kollektivet har også blitt knyttet til undergrunnsaktiviteter som involverer markedsføring av offensive hackingverktøy og publisering av stjålne data og lekkasjer av sikkerhetsbrudd. Med et Telegram-publikum på over 1600 abonnenter bidrar gruppen til den akselererte spredningen av sofistikerte cybertrusler ved å forenkle tilgangen til avanserte angrepsmuligheter.

BankGhost Builder kombinerer utrulling av skadelig programvare og svindeloperasjoner

BankGhost Builder markedsføres som et omfattende rammeverk for skadelig programvare for banker som er i stand til å støtte hele livssyklusen for cyberangrep. I følge reklamemateriell tilbyr plattformen støtte for mer enn 700 bankinstitusjoner i India, Nord-Amerika, Europa og Asia-Stillehavsregionen.

Byggeren integrerer nyttelastgenerering, phishing-infrastruktur, C2-distribusjon og utførelse av svindel i ett enkelt økosystem. Funksjonssettet inkluderer angivelig polymorf kryptering, prosessmaskering og nyttelastinjeksjonsteknikker designet for å unngå deteksjon av tradisjonelle sikkerhetsverktøy. I tillegg støtter skadevaren flere kommunikasjonskanaler, inkludert HTTPS, DNS-over-HTTPS, Tor og WebSocket-protokoller.

Plattformen inneholder også direkte svindelaktiveringsfunksjoner, som innhenting av legitimasjon, kapring av økter, nettinjeksjoner og teknikker som er ment å omgå tofaktorautentisering. Disse funksjonene ligner mye på de som er knyttet til kjente familier av skadelig programvare for banker, inkludert Zeus, Dridex og TrickBot, men er nå pakket i et enklere distribusjonsformat.

Lavere inngangsbarrierer øker risikoen i finanssektoren

Fremveksten av BankGhost Builder gjenspeiler den fortsatte industrialiseringen av nettkriminalitet, der avanserte offensive funksjoner pakkes, markedsføres og distribueres i stor skala. Den modulære arkitekturen og den tilpassbare genereringen av nyttelast reduserer avhengigheten av statiske indikatorer på kompromittering, noe som kompliserer attribusjons- og deteksjonsarbeidet for forsvarere.

Sikkerhetsanalytikere advarer om at den utbredte tilgjengeligheten av slike verktøy sannsynligvis vil akselerere flere store trusseltrender, inkludert:

Økte phishing-drevne skadevarekampanjer rettet mot bankkunder og -ansatte
Økende tilfeller av kontoovertakelser (ATO) og mer sofistikerte lokale svindeloperasjoner

Denne utviklingen kan utvide den operative rekkevidden til nettkriminelle grupper betydelig, som tidligere manglet ekspertisen til å utføre avanserte bankangrep uavhengig.

Finansinstitusjoner oppfordres til å styrke defensive strategier

For å redusere den økende trusselen fra utviklere av avansert malware for banktjenester, oppfordres finansinstitusjoner til å ta i bruk etterretningsdrevne og atferdsfokuserte sikkerhetsstrategier. Anbefalte forsvarstiltak inkluderer:

• Overvåking av unormal prosessutførelse, manipulering av utklippstavler og skjermbilder gjennom atferdsanalyse
• Oppdage mistenkelige krypterte trafikkmønstre, inkludert DNS-over-HTTPS og Tor-kommunikasjon
• Håndheving av strenge e-postsikkerhetskontroller, som for eksempel sandboksing av vedlegg og restriksjoner på høyrisikofiltyper, inkludert MSI-, DLL- og EXE-filer.
• Forbedring av programmer for svindelforebygging gjennom enhetsfingeravtrykk, deteksjon av transaksjonsavvik og avansert atferdsovervåking

En proaktiv og lagdelt forsvarsstrategi er fortsatt viktig ettersom underjordiske nettkriminelle miljøer fortsetter å akselerere adopsjonen og distribusjonen av sofistikerte skadevareplattformer som BankGhost Builder.