Construtor BankGhost

Pesquisadores de cibersegurança descobriram um anúncio no Telegram promovendo o "BankGhost Builder", uma sofisticada plataforma de criação de malware projetada para gerar trojans bancários com Comando e Controle (C2) integrado, mecanismos de distribuição de phishing e recursos focados em fraudes. O programa estaria sendo distribuído por comunidades clandestinas do Telegram, reforçando as preocupações com a rápida expansão das operações de Malware como Serviço (MaaS).

A estrutura de malware está sendo comercializada por um grupo de ameaças ligado ao Telegram, conhecido como Infrastructure Destruction Squad (IDS), também rastreado como Dark Engine. Sua promoção dentro de ecossistemas cibercriminosos demonstra um esforço ativo para comercializar o desenvolvimento de malware avançado e tornar o cibercrime financeiro mais acessível a agentes com menos conhecimento técnico.

Esquadrão de Destruição de Infraestrutura Expande Influência no Subterrâneo

O grupo Infrastructure Destruction Squad (IDS) ganhou destaque no final de 2025 e continuou a figurar entre as ameaças cibernéticas mais preocupantes ao longo de 2026. Ao contrário de muitos grupos hacktivistas pró-Rússia que se baseiam principalmente em ataques de negação de serviço distribuídos (DDoS) disruptivos, o IDS chamou a atenção por supostas intrusões envolvendo sistemas de controle industrial (ICS) e ambientes SCADA.

O coletivo também foi associado a atividades clandestinas envolvendo a promoção de ferramentas de hacking ofensivas e a publicação de dados roubados e vazamentos de informações. Com mais de 1.600 seguidores no Telegram, o grupo contribui para a disseminação acelerada de ameaças cibernéticas sofisticadas, facilitando o acesso a recursos avançados de ataque.

O BankGhost Builder combina a implantação de malware e operações de fraude.

O BankGhost Builder é anunciado como uma estrutura abrangente de malware bancário capaz de suportar todo o ciclo de vida de um ataque cibernético. De acordo com o material promocional, a plataforma oferece suporte a mais de 700 instituições bancárias na Índia, América do Norte, Europa e região Ásia-Pacífico.

O construtor integra geração de payloads, infraestrutura de phishing, implantação de C2 e execução de fraudes em um único ecossistema. Seu conjunto de recursos inclui, segundo relatos, criptografia polimórfica, mascaramento de processos e técnicas de injeção de payloads projetadas para burlar a detecção por ferramentas de segurança tradicionais. Além disso, o malware suporta múltiplos canais de comunicação, incluindo os protocolos HTTPS, DNS sobre HTTPS, Tor e WebSocket.

A plataforma também contém funções diretas de facilitação de fraudes, como coleta de credenciais, sequestro de sessão, injeções na web e técnicas destinadas a burlar a autenticação de dois fatores. Essas funcionalidades são muito semelhantes às associadas a famílias de malware bancário conhecidas, como Zeus, Dridex e TrickBot, mas agora estão agrupadas em um formato de construtor mais fácil de implantar.

Barreiras de entrada mais baixas aumentam o risco do setor financeiro.

O surgimento do BankGhost Builder reflete a crescente industrialização do cibercrime, onde capacidades ofensivas avançadas são empacotadas, comercializadas e distribuídas em larga escala. Sua arquitetura modular e geração de payloads personalizáveis reduzem a dependência de indicadores estáticos de comprometimento, o que dificulta os esforços de atribuição e detecção para os defensores.

Analistas de segurança alertam que a ampla disponibilidade dessas ferramentas provavelmente acelerará diversas tendências importantes de ameaças, incluindo:

Aumento das campanhas de malware direcionadas por phishing contra clientes e funcionários de bancos.
Aumento dos casos de apropriação indevida de contas (ATO) e operações de fraude localizadas mais sofisticadas.

Esses desenvolvimentos podem expandir significativamente o alcance operacional de grupos cibercriminosos que anteriormente não possuíam a expertise necessária para conduzir ataques bancários avançados de forma independente.

Instituições financeiras são instadas a fortalecer estratégias defensivas.

Para mitigar a crescente ameaça representada por desenvolvedores de malware bancário avançado, as instituições financeiras são incentivadas a adotar estratégias de segurança baseadas em inteligência e focadas no comportamento. As medidas defensivas recomendadas incluem:

• Monitoramento da execução anormal de processos, manipulação da área de transferência e comportamento de captura de tela por meio de análise comportamental.
• Detecção de padrões de tráfego criptografado suspeitos, incluindo comunicações DNS sobre HTTPS e Tor.
• Implementar controles de segurança rigorosos para e-mails, como o isolamento de anexos em sandbox e restrições a tipos de arquivos de alto risco, incluindo arquivos MSI, DLL e EXE.
• Aprimoramento de programas de prevenção de fraudes por meio de identificação de dispositivos, detecção de anomalias em transações e monitoramento comportamental avançado.

Uma estratégia de defesa proativa e em camadas continua sendo essencial, visto que as comunidades clandestinas de cibercriminosos seguem acelerando a adoção e a distribuição de plataformas de malware sofisticadas, como o BankGhost Builder.