Constructeur BankGhost

Des chercheurs en cybersécurité ont découvert une publicité sur Telegram faisant la promotion de « BankGhost Builder », une plateforme sophistiquée de création de logiciels malveillants conçue pour générer des chevaux de Troie bancaires dotés d'un système de commande et de contrôle (C2) intégré, de mécanismes de diffusion d'hameçonnage et de fonctionnalités dédiées à la fraude. Ce logiciel serait distribué via des communautés Telegram clandestines, ce qui renforce les inquiétudes quant à l'expansion rapide des services de logiciels malveillants (MaaS).

Ce logiciel malveillant est commercialisé par un collectif de cybercriminels lié à Telegram, connu sous le nom d'Infrastructure Destruction Squad (IDS) et également référencé sous le nom de Dark Engine. Sa promotion au sein des écosystèmes cybercriminels témoigne d'une volonté active de commercialiser le développement de logiciels malveillants sophistiqués et de rendre la cybercriminalité financière plus accessible aux acteurs moins qualifiés techniquement.

L’escouade de destruction des infrastructures étend son influence souterraine

L'Infrastructure Destruction Squad (IDS) a émergé de manière significative fin 2025 et a continué de figurer parmi les cybermenaces les plus préoccupantes tout au long de 2026. Contrairement à de nombreux groupes de hacktivistes pro-russes qui s'appuient principalement sur des attaques par déni de service distribué (DDoS) perturbatrices, l'IDS a attiré l'attention pour des intrusions présumées impliquant des systèmes de contrôle industriel (ICS) et des environnements SCADA.

Ce collectif est également impliqué dans des activités clandestines telles que la promotion d'outils de piratage offensifs et la publication de données volées et de fuites de données. Avec une audience de plus de 1 600 abonnés sur Telegram, le groupe contribue à l'accélération de la propagation des cybermenaces sophistiquées en simplifiant l'accès à des capacités d'attaque avancées.

BankGhost Builder combine le déploiement de logiciels malveillants et les opérations de fraude

BankGhost Builder est présenté comme une plateforme complète de développement de logiciels malveillants pour le secteur bancaire, capable de prendre en charge l'intégralité du cycle de vie d'une cyberattaque. Selon les documents promotionnels, la plateforme prend en charge plus de 700 établissements bancaires en Inde, en Amérique du Nord, en Europe et en Asie-Pacifique.

Ce générateur intègre la génération de charges utiles, l'infrastructure de phishing, le déploiement de serveurs de commande et de contrôle (C2) et l'exécution de fraudes au sein d'un écosystème unique. Ses fonctionnalités incluent notamment le chiffrement polymorphe, l'usurpation d'identité et des techniques d'injection de charges utiles conçues pour échapper à la détection par les outils de sécurité traditionnels. De plus, ce logiciel malveillant prend en charge plusieurs canaux de communication, dont les protocoles HTTPS, DNS sur HTTPS, Tor et WebSocket.

La plateforme intègre également des fonctions de fraude directe telles que la récupération d'identifiants, le détournement de session, les injections web et des techniques de contournement de l'authentification à deux facteurs. Ces fonctionnalités sont très similaires à celles des familles de logiciels malveillants bancaires bien connues comme Zeus, Dridex et TrickBot, mais sont désormais proposées dans un format de développement simplifié.

Des barrières à l’entrée plus faibles augmentent le risque du secteur financier

L'apparition de BankGhost Builder témoigne de l'industrialisation croissante de la cybercriminalité, où des capacités offensives avancées sont commercialisées et distribuées à grande échelle. Son architecture modulaire et la génération personnalisable de sa charge utile réduisent la dépendance aux indicateurs statiques de compromission, ce qui complique l'attribution et la détection pour les équipes de défense.

Les analystes en sécurité avertissent que la large disponibilité de tels outils risque d'accélérer plusieurs tendances majeures en matière de menaces, notamment :

Augmentation des campagnes de logiciels malveillants de type phishing ciblant les clients et les employés du secteur bancaire
Augmentation des cas de prise de contrôle de compte (ATO) et opérations de fraude localisées plus sophistiquées

Ces évolutions pourraient considérablement étendre la portée opérationnelle des groupes cybercriminels qui, auparavant, ne disposaient pas de l'expertise nécessaire pour mener de manière indépendante des attaques bancaires sophistiquées.

Les institutions financières sont invitées à renforcer leurs stratégies défensives

Pour atténuer la menace croissante que représentent les concepteurs de logiciels malveillants bancaires sophistiqués, les institutions financières sont encouragées à adopter des stratégies de sécurité fondées sur le renseignement et l'analyse comportementale. Les mesures défensives recommandées comprennent :

• Surveillance des anomalies d'exécution des processus, des manipulations du presse-papiers et des captures d'écran grâce à l'analyse comportementale
• Détection des schémas de trafic chiffré suspects, notamment les communications DNS sur HTTPS et Tor
• Mise en œuvre de contrôles de sécurité stricts pour les courriels, tels que le sandboxing des pièces jointes et les restrictions sur les types de fichiers à haut risque, notamment les fichiers MSI, DLL et EXE.
• Amélioration des programmes de prévention de la fraude grâce à l'empreinte digitale des appareils, la détection des anomalies de transaction et la surveillance comportementale avancée

Une stratégie de défense proactive et à plusieurs niveaux demeure essentielle, car les communautés cybercriminelles clandestines continuent d'accélérer l'adoption et la distribution de plateformes de logiciels malveillants sophistiquées telles que BankGhost Builder.