ผู้สร้าง BankGhost

นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้ค้นพบโฆษณาบน Telegram ที่โปรโมต 'BankGhost Builder' ซึ่งเป็นแพลตฟอร์มสร้างมัลแวร์ที่ซับซ้อน ออกแบบมาเพื่อสร้างโทรจันสำหรับธนาคารที่มีระบบควบคุมและสั่งการ (C2) กลไกการส่งฟิชชิ่ง และความสามารถในการฉ้อโกง มีรายงานว่าเครื่องมือสร้างมัลแวร์นี้กำลังถูกเผยแพร่ผ่านกลุ่ม Telegram ใต้ดิน ซึ่งตอกย้ำความกังวลเกี่ยวกับการขยายตัวอย่างรวดเร็วของการดำเนินงาน Malware-as-a-Service (MaaS)

เฟรมเวิร์กมัลแวร์นี้กำลังถูกเผยแพร่โดยกลุ่มผู้คุกคามที่เชื่อมโยงกับ Telegram ซึ่งรู้จักกันในชื่อ Infrastructure Destruction Squad (IDS) หรือที่รู้จักกันในชื่อ Dark Engine การส่งเสริมเฟรมเวิร์กนี้ภายในระบบนิเวศของอาชญากรไซเบอร์แสดงให้เห็นถึงความพยายามอย่างแข็งขันในการนำการพัฒนามัลแวร์ขั้นสูงมาใช้ในเชิงพาณิชย์ และทำให้การก่ออาชญากรรมไซเบอร์ทางการเงินเข้าถึงได้ง่ายขึ้นสำหรับผู้ที่ไม่มีทักษะทางเทคนิคมากนัก

หน่วยทำลายโครงสร้างพื้นฐานขยายอิทธิพลใต้ดิน

กลุ่มทำลายโครงสร้างพื้นฐาน (Infrastructure Destruction Squad หรือ IDS) ปรากฏตัวอย่างโดดเด่นในช่วงปลายปี 2025 และยังคงติดอันดับภัยคุกคามทางไซเบอร์ที่น่ากังวลที่สุดตลอดปี 2026 แตกต่างจากกลุ่มแฮ็กเกอร์ที่สนับสนุนรัสเซียหลายกลุ่มที่พึ่งพาการโจมตีแบบปฏิเสธการให้บริการแบบกระจาย (Distributed Denial-of-Service หรือ DDoS) เป็นหลัก IDS ได้รับความสนใจจากการบุกรุกระบบควบคุมอุตสาหกรรม (Industrial Control Systems หรือ ICS) และระบบ SCADA ที่ถูกกล่าวหา

กลุ่มนี้ยังเชื่อมโยงกับกิจกรรมใต้ดินที่เกี่ยวข้องกับการส่งเสริมเครื่องมือแฮ็กโจมตี และการเผยแพร่ข้อมูลที่ถูกขโมยและการรั่วไหลของข้อมูลจากการละเมิดความปลอดภัย ด้วยจำนวนผู้ติดตามใน Telegram มากกว่า 1,600 คน กลุ่มนี้มีส่วนช่วยเร่งการแพร่กระจายของภัยคุกคามทางไซเบอร์ที่ซับซ้อนโดยการทำให้การเข้าถึงความสามารถในการโจมตีขั้นสูงง่ายขึ้น

BankGhost Builder ผสานรวมการติดตั้งมัลแวร์และการปฏิบัติการฉ้อโกง

BankGhost Builder ถูกโฆษณาว่าเป็นเฟรมเวิร์กมัลแวร์สำหรับธนาคารที่ครอบคลุมและสามารถรองรับวงจรการโจมตีทางไซเบอร์ทั้งหมดได้ ตามข้อมูลส่งเสริมการขาย แพลตฟอร์มนี้ให้การสนับสนุนสถาบันการเงินมากกว่า 700 แห่งในอินเดีย อเมริกาเหนือ ยุโรป และภูมิภาคเอเชียแปซิฟิก

มัลแวร์นี้ผสานรวมการสร้างเพย์โหลด โครงสร้างพื้นฐานสำหรับการฟิชชิ่ง การติดตั้งระบบควบคุมและสั่งการ (C2) และการดำเนินการฉ้อโกงเข้าไว้ในระบบนิเวศเดียว มีรายงานว่าชุดคุณสมบัติของมันประกอบด้วยการเข้ารหัสแบบโพลีมอร์ฟิก การปลอมแปลงกระบวนการ และเทคนิคการฉีดเพย์โหลดที่ออกแบบมาเพื่อหลีกเลี่ยงการตรวจจับโดยเครื่องมือรักษาความปลอดภัยแบบดั้งเดิม นอกจากนี้ มัลแวร์ยังรองรับช่องทางการสื่อสารหลายช่องทาง รวมถึงโปรโตคอล HTTPS, DNS-over-HTTPS, Tor และ WebSocket

แพลตฟอร์มนี้ยังมีฟังก์ชันที่เอื้อต่อการฉ้อโกงโดยตรง เช่น การเก็บรวบรวมข้อมูลส่วนตัว การโจรกรรมเซสชัน การแทรกโค้ดบนเว็บ และเทคนิคที่มุ่งหลีกเลี่ยงการป้องกันการตรวจสอบสิทธิ์แบบสองขั้นตอน ความสามารถเหล่านี้คล้ายคลึงกับที่พบในตระกูลมัลแวร์โจมตีธนาคารที่รู้จักกันดี เช่น Zeus, Dridex และ TrickBot แต่ในเวอร์ชันนี้ถูกบรรจุอยู่ในรูปแบบตัวสร้างที่ใช้งานง่ายกว่า

การลดอุปสรรคในการเข้าสู่ตลาดจะเพิ่มความเสี่ยงให้กับภาคการเงิน

การเกิดขึ้นของ BankGhost Builder สะท้อนให้เห็นถึงการพัฒนาอย่างต่อเนื่องของอาชญากรรมไซเบอร์ในระดับอุตสาหกรรม ซึ่งความสามารถในการโจมตีขั้นสูงถูกบรรจุ จัดทำการตลาด และเผยแพร่ในวงกว้าง สถาปัตยกรรมแบบโมดูลาร์และการสร้างเพย์โหลดที่ปรับแต่งได้ช่วยลดการพึ่งพาตัวบ่งชี้การประนีประนอมแบบคงที่ ซึ่งทำให้การระบุแหล่งที่มาและการตรวจจับสำหรับฝ่ายป้องกันทำได้ยากขึ้น

นักวิเคราะห์ด้านความปลอดภัยเตือนว่า การเข้าถึงเครื่องมือดังกล่าวอย่างแพร่หลายมีแนวโน้มที่จะเร่งให้เกิดแนวโน้มภัยคุกคามที่สำคัญหลายประการ ซึ่งรวมถึง:

มีการเพิ่มจำนวนการโจมตีด้วยมัลแวร์แบบฟิชชิ่งที่มุ่งเป้าไปที่ลูกค้าและพนักงานธนาคาร
เหตุการณ์การเข้ายึดบัญชี (ATO) ที่เพิ่มขึ้น และการฉ้อโกงในระดับท้องถิ่นที่มีความซับซ้อนมากขึ้น

การพัฒนาเหล่านี้อาจขยายขอบเขตการปฏิบัติการของกลุ่มอาชญากรไซเบอร์ที่ก่อนหน้านี้ขาดความเชี่ยวชาญในการโจมตีระบบธนาคารขั้นสูงได้ด้วยตนเองอย่างมีนัยสำคัญ

สถาบันการเงินถูกกระตุ้นให้เสริมสร้างกลยุทธ์เชิงป้องกัน

เพื่อลดภัยคุกคามที่เพิ่มขึ้นจากผู้สร้างมัลแวร์โจมตีระบบธนาคารขั้นสูง สถาบันการเงินควรนำกลยุทธ์ด้านความปลอดภัยที่ขับเคลื่อนด้วยข้อมูลเชิงลึกและเน้นพฤติกรรมมาใช้ มาตรการป้องกันที่แนะนำ ได้แก่:

• การตรวจสอบการทำงานของกระบวนการที่ผิดปกติ การแก้ไขคลิปบอร์ด และพฤติกรรมการจับภาพหน้าจอผ่านการวิเคราะห์พฤติกรรม
• การตรวจจับรูปแบบการรับส่งข้อมูลที่เข้ารหัสที่น่าสงสัย รวมถึงการสื่อสารผ่าน DNS-over-HTTPS และ Tor
• การบังคับใช้มาตรการรักษาความปลอดภัยอีเมลอย่างเข้มงวด เช่น การแยกไฟล์แนบออกจากไฟล์อื่น และการจำกัดประเภทไฟล์ที่มีความเสี่ยงสูง รวมถึงไฟล์ MSI, DLL และ EXE
• ยกระดับโปรแกรมป้องกันการฉ้อโกงด้วยการระบุตัวตนอุปกรณ์ การตรวจจับความผิดปกติของธุรกรรม และการตรวจสอบพฤติกรรมขั้นสูง

กลยุทธ์การป้องกันเชิงรุกและแบบหลายชั้นยังคงมีความสำคัญอย่างยิ่ง เนื่องจากชุมชนอาชญากรไซเบอร์ใต้ดินยังคงเร่งการนำไปใช้และการเผยแพร่แพลตฟอร์มมัลแวร์ที่ซับซ้อน เช่น BankGhost Builder