BankGhost Builder

Onderzoekers op het gebied van cyberbeveiliging hebben een advertentie op Telegram ontdekt die 'BankGhost Builder' promoot, een geavanceerd platform voor het creëren van malware. Dit platform is ontworpen om banktrojans te genereren met geïntegreerde command-and-control (C2)-mechanismen, phishing-verspreidingsmechanismen en fraudegerichte functionaliteiten. De builder wordt naar verluidt verspreid via ondergrondse Telegram-gemeenschappen, wat de zorgen over de snelle expansie van Malware-as-a-Service (MaaS)-activiteiten versterkt.

Het malwareframework wordt op de markt gebracht door een aan Telegram gelieerd dreigingscollectief genaamd Infrastructure Destruction Squad (IDS), ook bekend als Dark Engine. De promotie ervan binnen cybercriminele ecosystemen toont een actieve poging om geavanceerde malware-ontwikkeling te commercialiseren en financiële cybercriminaliteit toegankelijker te maken voor minder technisch onderlegde daders.

Infrastructuurvernietigingseenheid breidt ondergrondse invloed uit

De Infrastructure Destruction Squad (IDS) dook eind 2025 prominent op en is gedurende heel 2026 een van de meest zorgwekkende cyberdreigingen gebleven. In tegenstelling tot veel pro-Russische hacktivistengroepen die voornamelijk gebruikmaken van ontwrichtende DDoS-aanvallen (Distributed Denial-of-Service), heeft IDS aandacht gekregen vanwege vermeende inbraken in industriële besturingssystemen (ICS) en SCADA-omgevingen.

Het collectief wordt ook in verband gebracht met ondergrondse activiteiten, zoals het promoten van aanvallende hacktools en het publiceren van gestolen data en gelekte informatie. Met meer dan 1600 abonnees op Telegram draagt de groep bij aan de versnelde verspreiding van geavanceerde cyberdreigingen door de toegang tot geavanceerde aanvalsmogelijkheden te vereenvoudigen.

BankGhost Builder combineert malware-implementatie en fraudebestrijding.

BankGhost Builder wordt aangeprezen als een uitgebreid malwareframework voor de banksector dat de volledige levenscyclus van een cyberaanval ondersteunt. Volgens promotiemateriaal biedt het platform ondersteuning voor meer dan 700 bankinstellingen in India, Noord-Amerika, Europa en de Aziatisch-Pacifische regio.

De malware integreert payloadgeneratie, phishinginfrastructuur, C2-implementatie en fraude-uitvoering in één ecosysteem. De functionaliteit omvat naar verluidt polymorfe encryptie, procesverhulling en payloadinjectietechnieken die zijn ontworpen om detectie door traditionele beveiligingssystemen te omzeilen. Bovendien ondersteunt de malware meerdere communicatiekanalen, waaronder HTTPS, DNS-over-HTTPS, Tor en WebSocket-protocollen.

Het platform bevat ook directe functies die fraude mogelijk maken, zoals het verzamelen van inloggegevens, het kapen van sessies, webinjecties en technieken om tweefactorauthenticatie te omzeilen. Deze mogelijkheden lijken sterk op die van bekende malwarefamilies die actief zijn in de banksector, zoals Zeus, Dridex en TrickBot, maar zijn nu verpakt in een gebruiksvriendelijker ontwikkelomgeving.

Lagere toetredingsdrempels verhogen het risico in de financiële sector.

De opkomst van BankGhost Builder weerspiegelt de voortdurende industrialisering van cybercriminaliteit, waarbij geavanceerde offensieve mogelijkheden worden verpakt, op de markt gebracht en op grote schaal verspreid. De modulaire architectuur en de aanpasbare payloadgeneratie verminderen de afhankelijkheid van statische indicatoren van compromis, waardoor het voor verdedigers lastiger wordt om de dader te identificeren en op te sporen.

Beveiligingsanalisten waarschuwen dat de wijdverspreide beschikbaarheid van dergelijke tools waarschijnlijk een aantal belangrijke dreigingstrends zal versnellen, waaronder:

Toename van phishing-malwarecampagnes gericht op bankklanten en -medewerkers
Toenemende incidenten met accountovername (ATO) en meer geavanceerde, lokale fraudeoperaties

Deze ontwikkelingen zouden het operationele bereik van cybercriminele groeperingen die voorheen niet over de expertise beschikten om zelfstandig geavanceerde bankaanvallen uit te voeren, aanzienlijk kunnen vergroten.

Financiële instellingen worden aangespoord hun defensieve strategieën te versterken.

Om de groeiende dreiging van geavanceerde malware voor de banksector te beperken, worden financiële instellingen aangemoedigd om op intelligentie en gedrag gebaseerde beveiligingsstrategieën te hanteren. Aanbevolen verdedigingsmaatregelen zijn onder meer:

• Het monitoren van afwijkend gedrag bij de uitvoering van processen, manipulatie van het klembord en schermopnames door middel van gedragsanalyse.
• Het detecteren van verdachte versleutelde verkeerspatronen, waaronder DNS-over-HTTPS en Tor-communicatie.
• Het afdwingen van strenge beveiligingsmaatregelen voor e-mail, zoals het isoleren van bijlagen in een sandbox en het beperken van risicovolle bestandstypen, waaronder MSI-, DLL- en EXE-bestanden.
• Verbetering van fraudepreventieprogramma's door middel van apparaatidentificatie, detectie van transactieafwijkingen en geavanceerde gedragsmonitoring.

Een proactieve en gelaagde verdedigingsstrategie blijft essentieel, aangezien ondergrondse cybercriminele gemeenschappen de adoptie en verspreiding van geavanceerde malwareplatformen zoals BankGhost Builder blijven versnellen.