BankGhost-Entwickler

Cybersicherheitsforscher haben eine Werbung auf Telegram entdeckt, die für „BankGhost Builder“ wirbt, eine hochentwickelte Malware-Plattform zur Generierung von Banking-Trojanern mit integrierten Command-and-Control-Systemen (C2), Phishing-Mechanismen und Betrugsfunktionen. Der Builder wird Berichten zufolge über inoffizielle Telegram-Gruppen verbreitet, was die Besorgnis über die rasante Ausbreitung von Malware-as-a-Service (MaaS)-Angeboten verstärkt.

Das Malware-Framework wird von einer mit Telegram verbundenen Bedrohungsgruppe namens Infrastructure Destruction Squad (IDS), auch bekannt als Dark Engine, vermarktet. Seine Verbreitung innerhalb krimineller Netzwerke belegt aktive Bemühungen, die Entwicklung fortschrittlicher Malware zu kommerzialisieren und Finanzkriminalität im Cyberraum auch technisch weniger versierten Akteuren zugänglich zu machen.

Infrastrukturzerstörungstrupp weitet Einfluss im Untergrund aus

Die Infrastructure Destruction Squad (IDS) trat Ende 2025 in Erscheinung und zählt auch 2026 weiterhin zu den besorgniserregendsten Cyberbedrohungen. Im Gegensatz zu vielen prorussischen Hacktivistengruppen, die sich hauptsächlich auf störende Distributed Denial-of-Service (DDoS)-Angriffe stützen, hat die IDS Aufmerksamkeit durch mutmaßliche Eindringversuche in industrielle Steuerungssysteme (ICS) und SCADA-Umgebungen erlangt.

Das Kollektiv wird auch mit Untergrundaktivitäten in Verbindung gebracht, die die Verbreitung offensiver Hacking-Tools und die Veröffentlichung gestohlener Daten und Leaks umfassen. Mit über 1.600 Abonnenten auf Telegram trägt die Gruppe zur beschleunigten Verbreitung komplexer Cyberbedrohungen bei, indem sie den Zugang zu fortschrittlichen Angriffsmethoden vereinfacht.

BankGhost Builder kombiniert Malware-Bereitstellung und Betrugsoperationen

BankGhost Builder wird als umfassendes Framework für Banken-Malware beworben, das den gesamten Lebenszyklus eines Cyberangriffs abdeckt. Laut Werbematerial bietet die Plattform Unterstützung für über 700 Bankinstitute in Indien, Nordamerika, Europa und dem asiatisch-pazifischen Raum.

Der Malware-Builder integriert Payload-Generierung, Phishing-Infrastruktur, C2-Bereitstellung und Betrugsausführung in ein einziges Ökosystem. Zu seinen Funktionen gehören Berichten zufolge polymorphe Verschlüsselung, Prozessmaskierung und Payload-Injection-Techniken, die die Erkennung durch herkömmliche Sicherheitstools verhindern sollen. Darüber hinaus unterstützt die Malware verschiedene Kommunikationskanäle, darunter HTTPS, DNS-over-HTTPS, Tor und WebSocket.

Die Plattform enthält außerdem Funktionen zur direkten Betrugsförderung, wie z. B. das Abgreifen von Zugangsdaten, Session-Hijacking, Web-Injections und Techniken zur Umgehung der Zwei-Faktor-Authentifizierung. Diese Funktionen ähneln stark denen bekannter Banking-Malware-Familien wie Zeus, Dridex und TrickBot, sind aber nun in einem einfacher zu implementierenden Builder-Format verpackt.

Niedrigere Markteintrittsbarrieren erhöhen das Risiko im Finanzsektor

Das Aufkommen von BankGhost Builder spiegelt die fortschreitende Industrialisierung der Cyberkriminalität wider, bei der hochentwickelte Angriffsfähigkeiten in großem Umfang verpackt, vermarktet und verbreitet werden. Seine modulare Architektur und die anpassbare Payload-Generierung verringern die Abhängigkeit von statischen Indikatoren für eine Kompromittierung und erschweren so die Zuordnung und Erkennung für die Verteidiger.

Sicherheitsexperten warnen davor, dass die weite Verbreitung solcher Tools mehrere wichtige Bedrohungstrends beschleunigen dürfte, darunter:

Zunahme von Phishing-basierten Malware-Kampagnen, die auf Bankkunden und Mitarbeiter abzielen
Zunehmende Kontoübernahmen und ausgefeiltere lokale Betrugsoperationen

Diese Entwicklungen könnten die operative Reichweite von Cyberkriminellen-Gruppen, denen bisher das Fachwissen fehlte, um selbstständig fortgeschrittene Bankangriffe durchzuführen, erheblich erweitern.

Finanzinstitute werden dringend aufgefordert, ihre Abwehrstrategien zu stärken

Um der wachsenden Bedrohung durch hochentwickelte Banking-Malware entgegenzuwirken, werden Finanzinstitute dazu angehalten, auf Erkenntnissen und Verhaltensanalysen basierende Sicherheitsstrategien anzuwenden. Zu den empfohlenen Schutzmaßnahmen gehören:

• Überwachung abnormaler Prozessausführung, Manipulation der Zwischenablage und Bildschirmaufnahmeverhalten mittels Verhaltensanalyse
• Erkennung verdächtiger verschlüsselter Datenverkehrsmuster, einschließlich DNS-over-HTTPS- und Tor-Kommunikation
• Die Durchsetzung strenger E-Mail-Sicherheitskontrollen, wie z. B. Sandboxing von Anhängen und Beschränkungen für risikoreiche Dateitypen einschließlich MSI-, DLL- und EXE-Dateien.
• Verbesserung von Betrugspräventionsprogrammen durch Geräte-Fingerprinting, Erkennung von Transaktionsanomalien und fortschrittliche Verhaltensüberwachung

Eine proaktive und mehrschichtige Verteidigungsstrategie bleibt unerlässlich, da kriminelle Untergrundgemeinschaften die Einführung und Verbreitung hochentwickelter Malware-Plattformen wie BankGhost Builder immer weiter beschleunigen.