BankGhost Builder

Cybersäkerhetsforskare har upptäckt en Telegram-baserad annons som marknadsför "BankGhost Builder", en sofistikerad plattform för att skapa skadlig kod konstruerad för att generera banktrojaner med integrerad kommando-och-kontroll (C2), phishing-leveransmekanismer och bedrägerifokuserade funktioner. Buildern distribueras enligt uppgift via underjordiska Telegram-communities, vilket förstärker oron över den snabba expansionen av Malware-as-a-Service (MaaS)-verksamhet.

Ramverket för skadlig kod marknadsförs av ett Telegram-kopplat hotkollektiv känt som Infrastructure Destruction Squad (IDS), även känt som Dark Engine. Dess marknadsföring inom cyberkriminella ekosystem visar en aktiv insats för att kommersialisera avancerad utveckling av skadlig kod och göra finansiell cyberbrottslighet mer tillgänglig för mindre tekniskt skickliga aktörer.

Infrastrukturförstörelsegruppen utökar sitt underjordiska inflytande

Infrastructure Destruction Squad framträdde tydligt i slutet av 2025 och har fortsatt att rankas bland de mest oroande cyberhoten under hela 2026. Till skillnad från många pro-ryska hacktivistgrupper som främst förlitar sig på störande distribuerade överbelastningsattacker (DDoS) har IDS fått uppmärksamhet för påstådda intrång som involverar industriella styrsystem (ICS) och SCADA-miljöer.

Kollektivet har också kopplats till underjordiska aktiviteter som involverar marknadsföring av offensiva hackverktyg och publicering av stulen data och läckor från dataintrång. Med en Telegram-publik som överstiger 1 600 prenumeranter bidrar gruppen till den accelererade spridningen av sofistikerade cyberhot genom att förenkla åtkomsten till avancerade attackfunktioner.

BankGhost Builder kombinerar distribution av skadlig kod och bedrägerioperationer

BankGhost Builder marknadsförs som ett omfattande ramverk för bankskadlig programvara som kan stödja hela cyberattackernas livscykel. Enligt marknadsföringsmaterial erbjuder plattformen stöd för fler än 700 bankinstitut i Indien, Nordamerika, Europa och Asien-Stillahavsområdet.

Skaparen integrerar nyttolastgenerering, nätfiskeinfrastruktur, C2-distribution och bedrägeriexekvering i ett enda ekosystem. Dess funktioner inkluderar enligt uppgift polymorf kryptering, processmaskering och nyttolastinjektionstekniker utformade för att undvika upptäckt av traditionella säkerhetsverktyg. Dessutom stöder skadlig programvara flera kommunikationskanaler, inklusive HTTPS, DNS-över-HTTPS, Tor och WebSocket-protokoll.

Plattformen innehåller även direkta funktioner för bedrägeriaktivering, såsom insamling av autentiseringsuppgifter, sessionskapning, webbinjektioner och tekniker avsedda att kringgå tvåfaktorsautentisering. Dessa funktioner liknar de som är förknippade med välkända familjer av bankskadlig kod, inklusive Zeus, Dridex och TrickBot, men är nu förpackade i ett enklare builder-format att driftsätta.

Lägre inträdesbarriärer ökar risken i finanssektorn

Framväxten av BankGhost Builder återspeglar den fortsatta industrialiseringen av cyberbrottslighet, där avancerade offensiva funktioner paketeras, marknadsförs och distribueras i stor skala. Dess modulära arkitektur och anpassningsbara nyttolastgenerering minskar beroendet av statiska indikatorer på kompromisser, vilket komplicerar attributions- och upptäcktsarbetet för försvarare.

Säkerhetsanalytiker varnar för att den utbredda tillgången till sådana verktyg sannolikt kommer att accelerera flera stora hottrender, inklusive:

Ökade nätfiskedrivna skadliga kampanjer riktade mot bankkunder och anställda
Ökande incidenter av kontoövertaganden (ATO) och mer sofistikerade lokala bedrägerioperationer

Denna utveckling skulle avsevärt kunna utöka den operativa räckvidden för cyberkriminella grupper som tidigare saknade expertis för att utföra avancerade bankattacker självständigt.

Finansinstitut uppmanas att stärka sina defensiva strategier

För att mildra det växande hotet från avancerade skadliga program för banker uppmuntras finansinstitut att anta underrättelsedrivna och beteendefokuserade säkerhetsstrategier. Rekommenderade försvarsåtgärder inkluderar:

• Övervakning av onormal processkörning, manipulation av urklipp och skärmdumpsbeteende genom beteendeanalys
• Upptäcka misstänkta krypterade trafikmönster, inklusive DNS-över-HTTPS och Tor-kommunikation
• Tillämpa strikta säkerhetskontroller för e-post, såsom sandboxing av bilagor och begränsningar för högriskfiltyper, inklusive MSI-, DLL- och EXE-filer.
• Förbättra program för bedrägeriförebyggande genom enhetsfingeravtryck, detektering av transaktionsanomalier och avancerad beteendeövervakning

En proaktiv och skiktad försvarsstrategi är fortfarande avgörande i takt med att underjordiska cyberkriminella grupper fortsätter att accelerera implementeringen och distributionen av sofistikerade skadliga plattformar som BankGhost Builder.