BankGhost Builder

Badacze cyberbezpieczeństwa odkryli reklamę w Telegramie promującą „BankGhost Builder”, zaawansowaną platformę do tworzenia złośliwego oprogramowania, stworzoną do generowania trojanów bankowych ze zintegrowanymi mechanizmami Command-and-Control (C2), mechanizmami dostarczania phishingu i funkcjami ukierunkowanymi na oszustwa. Według doniesień, kreator jest dystrybuowany za pośrednictwem podziemnych społeczności Telegramu, co potęguje obawy dotyczące gwałtownego rozwoju usług Malware-as-a-Service (MaaS).

Struktura złośliwego oprogramowania jest promowana przez powiązaną z Telegramem grupę zagrożeń znaną jako Infrastructure Destruction Squad (IDS), śledzoną również jako Dark Engine. Jej promocja w ekosystemach cyberprzestępców świadczy o aktywnych działaniach na rzecz komercjalizacji zaawansowanego złośliwego oprogramowania i uczynienia cyberprzestępczości finansowej bardziej dostępną dla osób o mniejszych umiejętnościach technicznych.

Oddział Niszczący Infrastrukturę rozszerza swoje wpływy w podziemiu

Grupa Infrastructure Destruction Squad zyskała na znaczeniu pod koniec 2025 roku i w 2026 roku nadal plasowała się w czołówce najbardziej niepokojących zagrożeń cybernetycznych. W przeciwieństwie do wielu prorosyjskich grup hakerskich, które opierają się głównie na destrukcyjnych atakach typu DDoS (Distributed Denial-of-Service), IDS zyskało uwagę ze względu na domniemane włamania do systemów sterowania przemysłowego (ICS) i środowisk SCADA.

Grupa jest również powiązana z podziemną działalnością obejmującą promocję ofensywnych narzędzi hakerskich oraz publikację skradzionych danych i wycieków. Z liczbą subskrybentów na Telegramie przekraczającą 1600, grupa przyczynia się do przyspieszonego rozprzestrzeniania się zaawansowanych cyberzagrożeń, ułatwiając dostęp do zaawansowanych możliwości ataku.

BankGhost Builder łączy wdrażanie złośliwego oprogramowania i operacje wykrywania oszustw

BankGhost Builder jest reklamowany jako kompleksowy framework do ochrony przed złośliwym oprogramowaniem bankowym, zdolny do obsługi całego cyklu cyberataku. Według materiałów promocyjnych, platforma oferuje wsparcie dla ponad 700 instytucji bankowych w Indiach, Ameryce Północnej, Europie i regionie Azji i Pacyfiku.

Twórca integruje generowanie ładunku, infrastrukturę phishingową, wdrażanie C2 i wykonywanie oszustw w jednym ekosystemie. Jego zestaw funkcji obejmuje podobno szyfrowanie polimorficzne, maskowanie procesów oraz techniki wstrzykiwania ładunku, mające na celu uniknięcie wykrycia przez tradycyjne narzędzia bezpieczeństwa. Ponadto złośliwe oprogramowanie obsługuje wiele kanałów komunikacyjnych, w tym protokoły HTTPS, DNS-over-HTTPS, Tor i WebSocket.

Platforma zawiera również funkcje umożliwiające bezpośrednie oszustwa, takie jak zbieranie danych uwierzytelniających, przechwytywanie sesji, ataki web-inject oraz techniki mające na celu omijanie zabezpieczeń uwierzytelniania dwuskładnikowego. Funkcje te są bardzo podobne do tych stosowanych w znanych rodzinach złośliwego oprogramowania bankowego, takich jak Zeus, Dridex i TrickBot, ale teraz są zawarte w łatwiejszym do wdrożenia formacie kreatora.

Niższe bariery wejścia zwiększają ryzyko sektora finansowego

Pojawienie się BankGhost Builder odzwierciedla postępującą industrializację cyberprzestępczości, w ramach której zaawansowane możliwości ofensywne są pakowane, sprzedawane i dystrybuowane na dużą skalę. Jego modułowa architektura i konfigurowalne generowanie danych ograniczają zależność od statycznych wskaźników naruszenia, co utrudnia obrońcom atrybucję i wykrywanie zagrożeń.

Analitycy ds. bezpieczeństwa ostrzegają, że powszechna dostępność takich narzędzi prawdopodobnie przyspieszy rozwój kilku głównych trendów zagrożeń, w tym:

Zwiększona liczba kampanii z wykorzystaniem złośliwego oprogramowania opartego na phishingu, wymierzonych w klientów i pracowników banków
Coraz więcej przypadków przejęcia kont (ATO) i bardziej wyrafinowanych lokalnych operacji oszustw

Tego typu zmiany mogą znacząco zwiększyć zasięg operacyjny grup cyberprzestępczych, którym wcześniej brakowało wiedzy specjalistycznej, aby samodzielnie przeprowadzać zaawansowane ataki bankowe.

Apel do instytucji finansowych o wzmocnienie strategii obronnych

Aby ograniczyć rosnące zagrożenie ze strony twórców zaawansowanego, bankowego złośliwego oprogramowania, instytucje finansowe są zachęcane do wdrażania strategii bezpieczeństwa opartych na analizie danych wywiadowczych i zachowań. Zalecane środki obronne obejmują:

• Monitorowanie nieprawidłowego wykonywania procesów, manipulacji schowkiem i zachowań związanych z przechwytywaniem ekranu za pomocą analizy behawioralnej
• Wykrywanie podejrzanych wzorców szyfrowanego ruchu, w tym komunikacji DNS-over-HTTPS i Tor
• Wdrażanie rygorystycznych kontroli bezpieczeństwa poczty e-mail, takich jak piaskownica załączników i ograniczenia dotyczące typów plików wysokiego ryzyka, w tym plików MSI, DLL i EXE
• Ulepszanie programów zapobiegania oszustwom poprzez odciski palców urządzeń, wykrywanie anomalii transakcji i zaawansowane monitorowanie zachowań

Proaktywna i wielowarstwowa strategia obronna pozostaje niezbędna, gdyż podziemne społeczności cyberprzestępców nadal przyspieszają adopcję i dystrybucję zaawansowanych platform złośliwego oprogramowania, takich jak BankGhost Builder.