BankGhost Builder
サイバーセキュリティ研究者らは、Telegram上で「BankGhost Builder」という高度なマルウェア作成プラットフォームを宣伝する広告を発見した。このプラットフォームは、コマンド＆コントロール（C2）機能、フィッシング配信メカニズム、および詐欺に特化した機能を統合したバンキング型トロイの木馬を生成するように設計されている。このビルダーは、アンダーグラウンドのTelegramコミュニティを通じて配布されていると報じられており、マルウェア・アズ・ア・サービス（MaaS）事業の急速な拡大に対する懸念を強めている。
このマルウェアフレームワークは、Telegramと関連のある脅威集団「インフラストラクチャ破壊部隊（IDS）」（別名「ダークエンジン」）によって販売されている。サイバー犯罪のエコシステム内でのその普及は、高度なマルウェア開発を商業化し、技術的なスキルが低い者でも金融サイバー犯罪に容易にアクセスできるようにする積極的な取り組みを示している。
目次
インフラ破壊部隊が地下での影響力を拡大
インフラ破壊部隊（IDS）は2025年後半に頭角を現し、2026年を通して最も懸念されるサイバー脅威の一つとして名を連ね続けている。主に破壊的な分散型サービス拒否（DDoS）攻撃に依存する多くの親ロシア派ハクティビスト集団とは異なり、IDSは産業制御システム（ICS）やSCADA環境への侵入疑惑で注目を集めている。
このグループは、攻撃的なハッキングツールの普及や、盗まれたデータや情報漏洩の公開といった地下活動にも関与しているとされている。Telegramのフォロワー数は1,600人を超え、高度な攻撃手段へのアクセスを容易にすることで、高度なサイバー脅威の拡散を加速させている。
BankGhost Builderはマルウェアの展開と不正行為を組み合わせた
BankGhost Builderは、サイバー攻撃のライフサイクル全体をサポートできる包括的な銀行マルウェアフレームワークとして宣伝されている。宣伝資料によると、このプラットフォームはインド、北米、ヨーロッパ、アジア太平洋地域にわたる700以上の金融機関をサポートしている。
このマルウェアは、ペイロード生成、フィッシングインフラ、C2サーバー展開、および不正行為実行を単一のエコシステムに統合しています。その機能には、従来のセキュリティツールによる検出を回避するために設計された、ポリモーフィック暗号化、プロセスなりすまし、ペイロード注入技術などが含まれていると報じられています。さらに、このマルウェアは、HTTPS、DNS-over-HTTPS、Tor、WebSocketプロトコルなど、複数の通信チャネルをサポートしています。
このプラットフォームには、認証情報の収集、セッションハイジャック、Webインジェクション、二要素認証の回避を目的とした手法など、不正行為を直接的に可能にする機能も含まれています。これらの機能は、Zeus、Dridex、TrickBotといった有名なバンキングマルウェアファミリーの機能と酷似していますが、より展開しやすいビルダー形式にパッケージ化されています。
参入障壁の低下は金融セクターのリスクを高める
BankGhost Builderの出現は、サイバー犯罪の産業化が進んでいることを反映している。高度な攻撃能力がパッケージ化され、大規模に販売・流通されているのだ。そのモジュール型アーキテクチャとカスタマイズ可能なペイロード生成により、侵害の静的な指標への依存度が低減され、防御側にとって攻撃者の特定と検出が困難になる。
セキュリティアナリストは、こうしたツールの普及により、以下のようないくつかの主要な脅威の傾向が加速する可能性が高いと警告している。
銀行の顧客や従業員を標的としたフィッシング攻撃型のマルウェアキャンペーンが増加
アカウント乗っ取り（ATO）事件の増加と、より巧妙な地域密着型の詐欺行為
こうした進展により、これまで高度な銀行攻撃を独自に実行する専門知識を持たなかったサイバー犯罪グループの活動範囲が大幅に拡大する可能性がある。
金融機関に対し、防御戦略の強化が強く求められる
高度なバンキングマルウェア作成者による脅威の増大を軽減するため、金融機関はインテリジェンス主導型かつ行動指向型のセキュリティ戦略を採用することが推奨されます。推奨される防御策は以下のとおりです。
- 行動分析を通じて、異常なプロセス実行、クリップボード操作、および画面キャプチャ動作を監視する。
- DNS-over-HTTPSやTor通信など、疑わしい暗号化トラフィックパターンを検出する
- 添付ファイルのサンドボックス化や、MSI、DLL、EXEファイルなどの高リスクファイルタイプに対する制限など、厳格なメールセキュリティ制御を実施する。
- デバイスフィンガープリンティング、取引異常検知、高度な行動監視を通じて不正防止プログラムを強化する。
地下のサイバー犯罪コミュニティがBankGhost Builderのような高度なマルウェアプラットフォームの採用と配布を加速させ続けているため、積極的かつ多層的な防御戦略は依然として不可欠である。
