Novi GhostBat napada 60 bankarskih aplikacija

Zlonamjerni softver GhostBat za Android koristi kampanje lažnih poruka i lažne instalacijske pakete kako bi se infiltrirao u uređaje. Pritom primjenjuje tehniku prozirnog preklapanja putem usluga pristupačnosti kako bi ukrao PIN kôdove iz stvarnih bankarskih aplikacija. Sigurnosni istraživači kompanije Cyble otkrili su identifikator Firebase projekta povezanog s pozadinskom infrastrukturom zlonamjernog softvera GhostX, čime su otkrili ekosistem pod kontrolom operatera koji objedinjuje phishing prevare, daljinsko upravljanje uređajima i distribuciju zlonamjernog softvera.

GHOSTBAT ZLONAMJERNI SOFTVER

Od oktobra 2025. godine, zlonamjerni softver GhostBat za bankarske aplikacije u sistemu Android evoluirao je od krađe usmjerene na SMS poruke ka modularnom sistemu koji iskorištava funkciju Firebase Remote Config poput digitalnog lutkara koji povlači konce iza zavjese stvarnih aplikacija.

Ova pozadinska infrastruktura funkcioniše kao centralizovani nervni sistem, dajući mogućnost zlonamjernim akterima da aktiviraju module za prevare krađom identiteta u zlonamjernom softveru GhostBat ili preusmjeravaju kanale za komandovanje i kontrolu bez izmjene samog instalacijskog paketa, što je proces sličan daljinskom reprogramiranju robota dok obavlja zadatke.

Povezivanje ovog zlonamjernog softvera sa slojevima pristupačnosti i šezdeset ciljanih finansijskih aplikacija stvara višeslojnu obmanu u kojoj ukradeni PIN kôdovi neprimjetno teku kroz šifrovane puteve sistema Firebase.

Dok zlonamjerni akteri prilagođavaju parametre kampanje u stvarnom vremenu, zlonamjerni softver GhostBat prilagođava svoje vektore napada brže nego što tradicionalni skeneri mogu da reaguju, brišući granicu između odnosa korisnika i automatizovanog iskorištavanja.

 

Kampanje lažnih poruka i kanali distribucije

Kampanje lažnih poruka postale su primarni vektor infekcije, pri čemu zlonamjerni akteri iskorištavaju lažna obavještenja povezana sa uslugama mParivahan i eChallan u Indiji.

Ove poruke često sadrže zlonamjerne veze koje preusmjeravaju korisnike na stranice za prevare krađom identiteta koje oponašaju stvarne državne portale ili ekrane za preuzimanje u stilu usluge Google Play, čime se žrtve podstiču da instaliraju lažne instalacijske pakete APK maskirane kao zvanične aplikacije.

Zlonamjerni softver GhostBat iskorištava ovo povjerenje ugrađivanjem zlonamjernih korisnih tereta unutar ovih obmanjujućih okruženja, koji se zatim šalju kroz infrastrukturu za prevare krađom identiteta i javna skladišta na platformi GitHub.

Sredstva skladištenja na platformi GitHub igraju ključnu ulogu u širenju dometa zlonamjernog softvera, pri čemu zlonamjerni akteri koriste platforme otvorenog kôda za skladištenje zlonamjernih datoteka APK pod nazivima koji podsjećaju na stvarne usluge. Ovaj pristup ne samo da izbjegava otkrivanje, već i iskorištava vjerodostojnost poznatih okruženja za skladištenje, čime se korisnicima otežava razlikovanje između stvarnih i lažnih preuzimanja.

Povezivanje ovakvih spremišta u lanac distribucije zlonamjernog softvera GhostBat naglašava strateški zaokret ka iskorištavanju javne infrastrukture radi širenja zlonamjernog softvera. Dok su se ranije verzije zlonamjernog softvera GhostBat u velikoj mjeri oslanjale na direktne veze za prevare krađom identiteta, nedavne kampanje su se proširile i uključuju mehanizme isporuke u više faza koji prikrivaju prisustvo zlonamjernog softvera.

Na primjer, zlonamjerni instalacijski paketi APK često su maskirali kao ažuriranja ili zvanične verzije aplikacija, čime se iskorištava sklonost korisnika da preuzimaju datoteke iz neprovjerenih izvora. Ova evolucija odražava širi trend unutar ekosistema GhostX, u kojem zlonamjerni akteri usavršavaju svoje taktike kako bi održali dugoročni pristup i izbjegli sigurnosne mjere.

Oslanjanje zlonamjernog softvera GhostBat na kampanje lažnih poruka naglašava njegovu prilagodljivost u ciljanju korisnika operativnog sistema Android širom finansijskog sektora u Indiji.

Upotrebom zlonamjernih veza u porukama koje oponašaju hitna državna obavještenja ili obavještenja povezana sa saobraćajem, zlonamjerni akteri iskorištavaju obrasce ljudskog ponašanja kako bi zaobišli tehničke mjere odbrane. Korištenje skladišta na platformi GitHub dodatno povećava domet zlonamjernog softvera, čime se osigurava stalan dotok zlonamjernih korisnih tereta za preuzimanje, uz istovremeno prikrivanje porijekla ovih prijetnji unutar stvarnih okruženja za skladištenje.

Približavanje infrastrukture za prevare krađom identiteta i javnih platformi za dijeljenje kôda ističe integraciju zlonamjernog softvera GhostBat u ekosistem GhostX, u kojem je svaka komponenta, bilo da se radi o kontroli pratećeg sistema ili upravljanju uređajem, osmišljena da podrži stalne cikluse infekcije.

Ovo međusobno djelovanje taktika društvenog inženjeringa i tehničkih metoda isporuke osigurava da čak i manje promjene u strategiji kampanje mogu značajno uticati na stope širenja zlonamjernog softvera među ciljanim korisničkim bazama.

 

Tehnike prozirnog sloja

Zlonamjerni softver GhostBat koristi funkciju TYPE_ACCESSIBILITY_OVERLAY radi pravljenja prozirnih regiona za dodir preko stvarnih tastatura za PIN kôdove u ciljanim aplikacijama, kao što su Google Pay i MobiKwik. Ovi slojevi oponašaju raspored numeričkih tastatura, ali ostaju nevidljivi za korisnike, pri čemu presreću koordinate dodira.

Kada korisnik stupi u odnos sa stvarnom tastaturom, zlonamjerni softver GhostBat hvata unos kroz događaje usluge AccessibilityService u operativnom sistemu Android, prije nego što ga proslijedi nazad u aplikaciju. Ovom metodom zlonamjerni softver rekonstruiše PIN kôdove bez ometanja toka plaćanja ili upozoravanja žrtava. Dizajn sloja oslanja se na 12 precizno poravnatih regiona za dodir koji odgovaraju standardnim numeričkim tastaturama, čime se osigurava kompatibilnost širom više finansijskih aplikacija.

Zlonamjerni softver GhostBat iskorištava funkciju TYPE_ACCESSIBILITY_OVERLAY, čime zaobilazi uobičajene taktike za prevare krađom identiteta i umjesto toga direktno preuzima kontrolu nad stvarnim okruženjima. Ovaj pristup smanjuje sumnju korisnika, uz istovremeno povećanje efikasnosti preuzimanja podataka, jer zlonamjerni softver ne mora postavljati lažne ekrane ili preusmjeravati saobraćaj kroz zlonamjerne krajnje tačke.

Funkcionalnost sloja zlonamjernog softvera GhostBat dinamički se podešava putem parametara funkcije Firebase Remote Config, koji određuju ciljane aplikacije. Ova podešavanja osiguravaju da se tehnika prilagođava evoluirajućim ekosistemima aplikacija bez potrebe za izmjenama kôda.

Korištenje funkcije dispatchGesture() dodatno poboljšava prikrivenost, jer oponaša stvarne obrasce unosa korisnika, čime se otkrivanje putem analize ponašanja čini znatno izazovnijim za sigurnosne sisteme.

 

Evolucija mehanizama učitavača

Najnovija verzija arhitekture učitavača zlonamjernog softvera GhostBat koristi datoteku libnetbridge.so, izvornu biblioteku koja primjenjuje višestruke kriptografske transformacije prije izdvajanja konačnog zlonamjernog korisnog tereta. Ovaj pristup uključuje faze šifrovanja, kompresije i prilagođenih kontejnera, čime se otežavaju napori statičke analize, uz istovremeno osiguravanje prikrivenosti tokom primjene.

Korištenje algoritma AES-256-GCM za dešifrovanje dodaje dodatni sloj prikrivanja, čime se zlonamjerni akteri primoravaju da dinamički upravljaju ključevima bez njihovog izlaganja u običnom tekstu. Oslanjanje zlonamjernog softvera GhostBat na ovakve mehanizme odražava namjerni zaokret ka izbjegavanju tradicionalnih okruženja za otkrivanje koja se oslanjaju na prepoznavanje zasnovano na potpisima.

Proces dešifrovanja u više faza dodatno povećava otpornost zlonamjernog softvera. Nakon početnog raspakivanja, zlonamjerni korisni teret prolazi kroz uzastopne transformacije, uključujući dešifrovanje algoritmom AES-256-GCM i dekompresiju međukontejnera. Ovaj slojeviti pristup osigurava da, čak i ako se jedna faza presretne ili analizira, naredni koraci ostaju nedostupni bez potpunog kriptografskog okruženja.

Ovakva složenost povećava operativni životni vijek zlonamjernog softvera GhostBat, jer odgađa napore obrnutog inženjeringa i smanjuje vjerovatnoću da automatizovani sistemi za otkrivanje označe zlonamjerni softver rano u njegovom lancu izvršavanja.

Komponente podijeljenog instalacijskog paketa APK čine još jedan ključni element strukture zlonamjernog korisnog tereta zlonamjernog softvera GhostBat. Konačna aplikacija isporučuje se kao podijeljena podešavanja, koja se sastoje od datoteka base.apk i split_config.dex.apk, a koje se raspakuju nakon instalacije radi rekonstrukcije funkcionalnih modula.

Ova metoda daje mogućnost zlonamjernim akterima da moduliraju zlonamjerni kôd, čime se omogućavaju dinamička ažuriranja ili ponovna podešavanja bez potrebe za potpunom ponovnom distribucijom instalacijskog paketa APK. Izolovanjem kritičnih komponenti u zasebne datoteke, zlonamjerni softver GhostBat otklanja rizike povezane sa alatima za statičku analizu koji se fokusiraju na objedinjene binarne datoteke, pri čemu istovremeno održava prilagodljivost u evoluciji zlonamjernog korisnog tereta.

Integracija prilagođenih formata kontejnera poput MSZ1 i MSP1 dodatno otežava tokove rada za izdvajanje. Ovi kontejneri obuhvataju dekompresovani DEX kôd, koji se zatim učitava u memoriju korištenjem mehanizama zasnovanih na Javi ili izvornih puteva izvršavanja. Ova razdvojenost između pakovanja i izvršavanja tokom rada osigurava da, čak i ako sigurnosni istraživači povrate strukturu instalacijskog paketa APK, i dalje moraju proći kroz slojeve prikrivanja kako bi pristupili izvršnim komponentama.

Usvajanje ovakvih tehnika od strane zlonamjernog softvera GhostBat naglašava fokus njegovih operatera na produžavanje izbjegavanja otkrivanja, uz istovremeno održavanje operativne prilagodljivosti širom evoluirajućih pejzaža prijetnji.

 

Dinamička arhitektura za komandovanje i kontrolu

Funkcija Firebase Remote Config daje mogućnost zlonamjernom softveru GhostBat da dinamički prilagodi svoju infrastrukturu za komandovanje i kontrolu nakon instalacije.

Ovaj mehanizam omogućava zlonamjernim akterima da aktiviraju ili deaktiviraju krajnje tačke pozadinskog sistema ili onemoguće određene module zlonamjernog softvera bez potrebe za novim primjenama instalacijskog paketa APK, čime se poboljšava operativna agilnost i izbjegava otkrivanje tradicionalnim metodama zasnovanim na potpisima.

Uočena podrazumijevana adresa za komandovanje i kontrolu za jednu varijantu je api.cloudsettle.org, iako se ovaj domen može promijeniti kao dio strategije operatera da izbjegne napore za uklanjanje.

Zlonamjerni softver GhostBat iskorištava okruženje za komunikaciju kroz više kanala koji integriše konvencionalna HTTPS REST API okruženja sa uslugama sistema Firebase i podesivim tunelima WebSocket. Ovaj slojeviti pristup osigurava otpornost na mrežne poremećaje ili mjere zaštite usmjerene na pojedinačne kanale, čime se zlonamjernim akterima daje mogućnost da daljinski izmijene ponašanje zlonamjernog softvera u stvarnom vremenu putem parametara funkcije Firebase Remote Config.

Integracija krajnjih tačaka REST API okruženja u infrastrukturu za komandovanje i kontrolu zlonamjernog softvera GhostBat ističe njegovu sposobnost za detaljnu kontrolu nad inficiranim krajnjim uređajima. Ove krajnje tačke olakšavaju preuzimanje podataka, daljinsko izvršavanje komandi i ažuriranja podešavanja bez oslanjanja na unaprijed ugrađene adrese servera.

Ovakva prilagodljivost naglašava na koji način se zlonamjerni softver GhostBat prilagođava evoluirajućim pejzažima sigurnosti, uz istovremeno održavanje dugoročnog pristupa ugroženim sistemima. Korištenje dinamičkog prebacivanja pozadinskog sistema od strane zlonamjernog softvera GhostBat kroz funkciju Firebase Remote Config isto tako otežava napore u utvrđivanju odgovornosti.

Razdvajanjem funkcionalnosti zlonamjernog softvera od statične infrastrukture, zlonamjerni akteri mogu usmjeravati saobraćaj kroz višestruke posrednike ili neprimjetno prelaziti između domena. Ovaj izbor u dizajnu odražava širi trend u modernim bankarskim trojancima za operativni sistem Android ka modularnim arhitekturama vođenim oblakom, koje daju prednost prikrivenosti i dugotrajnosti u odnosu na neposrednu isporuku zlonamjernog korisnog tereta.

 

Upravljanje operaterima i koordinacija kampanje

Izloženi pozadinski sistem ekosistema GhostX otkriva sloj za upravljanje operaterima, osmišljen za centralizovanu kontrolu nad ugroženim krajnjim uređajima.

Zapisi admin_logins unutar baze podataka uključuju otiske krajnjih uređaja, vremenske oznake i polja statusa na mreži, čime se zlonamjernim akterima daje mogućnost da prate aktivne sesije i upravljaju pristupom kroz distribuiranu mrežu. Ovo okruženje daje mogućnost zlonamjernom softveru GhostBat da sinhronizuje operacije sa višestrukim administratorima, pri čemu se istovremeno održava detaljan nadzor nad pojedinačnim odnosima korisnika i bota, što odražava strukturiran pristup dodjeli resursa i dodjeljivanju zadataka.

Mapiranja bot-korisnik unutar ekosistema pokazuju arhitekturu sa više operatera, u kojoj se različitim ulogama, poput administratora, korisnika i bot-korisnika, dodjeljuju određene dozvole i odgovornosti. Ova segmentacija pokazuje da bi ekosistem GhostX mogao funkcionisati kao platforma zlonamjernog softvera kao usluge, čime se nudi infrastruktura akterima trećih strana za izvođenje kampanja bez direktnog tehničkog učešća glavnih operatera.

Prisustvo namjenskih tabela admin_logins dodatno učvršćuje ovaj model, čime se osiguravaju sigurnosni kanali za provjeru prava pristupa radi daljinskog upravljanja grupama krajnjih uređaja.

Aktivno upravljanje kampanjom očigledno je kroz ponovljene izmjene sadržaja za prevare krađom identiteta, uključujući SMS mamce i brojeve registracije vozila, koji se dinamički ažuriraju u stvarnom vremenu. Ova prilagodljivost daje mogućnost zlonamjernom softveru GhostBat da izbjegne otkrivanje čestim mijenjanjem svojih vektora napada, pri čemu se istovremeno održava operativni kontinuitet.

Integracija mehanizama za podešavanja zasnovanih na sistemu Firebase osigurava da se promjene neprimjetno šire kroz ekosistem, čime se učvršćuje uloga ekosistema GhostX kao skalabilne infrastrukture koja podržava i ciljane krađe i šire operacije finansijskih prevara.

 

ZAKLJUČAK

Uočeni primjeri otkrivaju na koji način integracija zlonamjernog softvera GhostBat sa funkcijom Firebase Remote Config i zloupotrebom usluge pristupačnosti označava zaokret ka zlonamjernom softveru koji se prilagođava u stvarnom vremenu, čime se briše granica između statičkih zlonamjernih korisnih tereta i operacija koje žive od postojećih resursa.

Ova prilagodljivost transformiše zlonamjerni softver GhostBat iz izolovane prijetnje u čvor unutar veće mreže finansijski motivisanih zlonamjernih aktera, gdje svaka verzija usavršava njegovu sposobnost izbjegavanja otkrivanja, pri čemu se istovremeno širi domet širom pejzaža digitalnih plaćanja u Indiji. Oslanjanje na platformu GitHub za skladištenje zlonamjernih instalacijskih paketa APK dodatno naglašava strateško usklađivanje sa infrastrukturom otvorenog kôda, jer se iskorištava javno povjerenje u skladišta kako bi se zaobišle tradicionalne sigurnosne provjere i povećala efikasnost distribucije.

Strukture pozadinskog sistema ekosistema GhostX otkrivaju nivo operativne složenosti koji nadilazi pojedinačne varijante zlonamjernog softvera, čime se naslućuje postojanje centralizovanog sloja za komandovanje sposobnog za orkestriranje napada sa više vektora. Ovo uključuje dinamička ažuriranja sadržaja za prevare krađom identiteta, zapise o kontroli krajnjih uređaja i mapiranja bot-korisnik, što ukazuje ne samo na mogućnost proširenja, već i na namjeru održavanja dugoročnog pristupa širom ugroženih krajnjih uređaja.

Ovakve sposobnosti podrazumijevaju dugoročnu investiciju u infrastrukturu od strane zlonamjernih aktera, koji zlonamjerni softver GhostBat tretiraju i kao alat za neposrednu finansijsku krađu i kao temelj za šire mreže sajber kriminala koje bi mogle evoluirati u složenije prijetnje namijenjene različitim platformama.

Dok su se ranije varijante zlonamjernog softvera GhostBat oslanjale na presretanje SMS poruka i osnovne tehnike slojeva radi krađe pristupnih podataka, najnovije primjene demonstriraju napredno razumijevanje okruženja za pristupačnost u operativnom sistemu Android. Ugrađivanjem prozirnih regiona za dodir preko stvarnih tastatura za PIN kôdove bez ometanja korisničkog iskustva, zlonamjerni softver GhostBat ponovo definiše prikrivenost u mobilnom zlonamjernom softveru, čime se tradicionalne metode otkrivanja koje se oslanjaju na nepravilnosti korisničkog okruženja čine sve manje efikasnim.

Ovaj metodološki zaokret postavlja kritična pitanja o tome na koji način sigurnosni sistemi mogu razlikovati bezazlene funkcije pristupačnosti od zlonamjernih slojeva, posebno s obzirom na to da se slične tehnike uočavaju i u drugim bankarskim trojancima za operativni sistem Android koji djeluju globalno. Spajanje podešavanja vođenih sistemom Firebase sa mehanizmima za komandovanje i kontrolu kroz više kanala ističe trend ka modularnim arhitekturama zlonamjernog softvera koje daju prednost otpornosti u odnosu na jednostavnost.

Zlonamjerni akteri zlonamjernog softvera GhostBat sada koriste slojevite učitavače, koji prikrivaju isporuku zlonamjernih korisnih tereta kroz kriptografske transformacije i prilagođene formate kontejnera. Ovo prikrivanje otežava forenzičku analizu i napore u utvrđivanju odgovornosti, čime se stvara povratna sprega u kojoj se na svaki tehnički napredak branilaca odgovara jednako naprednom protivmjerom.

Kako ove taktike postaju sve rasprostranjenije, izazov za okruženja sajber bezbjednosti biće razlikovanje između stvarnih ponašanja sistema i zlonamjernih aktivnosti bez ugrožavanja privatnosti korisnika ili performansi krajnjeg uređaja.

Ono što ostaje nejasno jeste da li se zlonamjerni akteri zlonamjernog softvera GhostBat razvijaju ka potpuno automatizovanom modelu prijetnji uz pomoć vještačke inteligencije, koji bi mogao dodatno narušiti odbrambene sposobnosti u stvarnom vremenu.

 

PREPORUKE

Pojava zlonamjernog softvera GhostBat kao naprednog zlonamjernog softvera za bankarstvo na operativnom sistemu Android u širem ekosistemu GhostX ističe rastuću prijetnju za korisnike u finansijskom sektoru Indije. Navedene preporuke mogu doprinijeti jačanju sigurnosti, otpornosti i spremnosti, čime se smanjuje izloženost:

1. Sprovesti sveobuhvatnu obuku korisnika o informacionoj bezbjednosti, s posebnim naglaskom na opasnosti od lažnih tekstualnih poruka koje se lažno predstavljaju kao obavještenja državnih službi. Time se smanjuje vjerovatnoća da korisnici putem obmanjujućih veza preuzmu i instaliraju zlonamjerne APK
2. Sprovoditi redovne preglede dozvola na uređajima sa operativnim sistemom Android kako bi se osiguralo da su aplikacije koje zahtijevaju pristup usluzi pristupačnosti stvarne i neophodne. Zlonamjerni softver GhostBat iskorištava ovu funkciju za napade preklapanjem, pa ograničavanje takvih dozvola može ublažiti neovlašteno djelovanje na ekranu.
3. Koristiti alate za provjeru ispravnosti aplikacija koji unakrsno provjeravaju potpise aplikacija sa poznatim skladištima ili platformama za obavještajne podatke o prijetnjama. Ovo pomaže u otkrivanju lažnih aplikacija koje se distribuiraju kroz stranice za krađu identiteta ili platforme za zajedničko dijeljenje servera.
4. Unaprijediti sigurnost krajnjih uređaja mehanizmima za otkrivanje preklapanja sposobnim da prepoznaju transparentna preklapanja pristupačnosti, poput tehnike koju koristi zlonamjerni softver GhostBat za presretanje unosa PIN kôdova u stvarnim aplikacijama.
5. Primjenjivati modele mašinskog učenja obučene na obrascima adresa za krađu identiteta i strukturama poruka lažnih tekstualnih poruka radi označavanja sumnjivih veza prije nego što stignu do korisnika. Ovo je od ključnog značaja s obzirom na aktivno upravljanje kampanjama ekosistema GhostX u razvoju.
6. Zahtijevati provjeru identiteta u više koraka (MFA) za aplikacije za bankarstvo i plaćanje, čime se osigurava da, čak i ako se jednokratne lozinke ukradu putem mogućnosti presretanja SMS poruka zlonamjernog softvera GhostBat, zlonamjerni akteri ne mogu pristupiti nalozima bez dodatnih slojeva provjere.
7. Razviti prilagođene politike sigurnosti za operativni sistem Android radi blokiranja ili ograničavanja korištenja zastarjelih učitavača koje zlonamjerni softver GhostBat koristi u svojim mehanizmima isporuke koji se razvijaju radi izbjegavanja otkrivanja.
8. Ojačati saradnju sa platformama za obavještajne podatke o prijetnjama radi praćenja pozadinske infrastrukture ekosistema GhostX, uključujući administrativne strukture i zapise o upravljanju uređajima otkrivene tokom istraga. Ovo omogućava pravovremeno ublažavanje povezanih distribucija zlonamjernog softvera.
9. Sprovoditi redovna ažuriranja aplikacija za bankarstvo identifikovanih kao primarne žrtve zlonamjernog softvera GhostBat. Ispravljanje ranjivosti u ovim aplikacijama može spriječiti iskorištavanje kroz tehnike ciljanog prikupljanja unosa PIN kôdova ili tastera.
10. Sprovoditi penetracijsko testiranje na uređajima sa operativnim sistemom Android radi simulacije lanca napada zlonamjernog softvera GhostBat, uključujući scenarije zloupotrebe usluge pristupačnosti i krađe pristupnih podataka zasnovane na preklapanju. Ovo otkriva nedostatke u odbrani na nivou uređaja prije nego što se dogode stvarni napadi.
11. Pratiti mrežni saobraćaj radi nepravilnosti koje ukazuju na obrasce udaljenog tuneliranja ili komunikacije sa kanalom za komandovanje i kontrolu zlonamjernog softvera GhostBat, posebno nakon otkrivanja sumnjivih instalacija aplikacija povezanih sa kampanjama lažnih tekstualnih poruka.
12. Uspostaviti protokole za odgovor na incidente prilagođene ekosistemu kojim upravlja operater GhostX, čime se osigurava brzo obuzdavanje i analiza uređaja inficiranih zlonamjernim softverom GhostBat prije nego što ugroze dodatne sisteme.
13. Koristiti izolovana okruženja za nepoznate APK datoteke, posebno one koje oponašaju bankarske usluge, radi analize njihovog ponašanja bez rizikovanja izlaganja podataka korisnika. Ovo je od suštinskog značaja s obzirom na korištenje resursa skladištenih na platformi GitHub od strane zlonamjernih aktera za distribuciju.
14. Ograničiti obim funkcija za upravljanje uređajima u korporativnim okruženjima radi sprječavanja infrastrukture povezane sa ekosistemom GhostX da iskorištava uputstva za preusmjeravanje poziva ili isporuku SMS poruka u zlonamjerne svrhe.
15. Istražiti alternativne metode provjere identiteta izvan PIN kôdova, poput biometrije ili sistema zasnovanih na pristupnim oznakama, radi ublažavanja rizika koje nameću mogućnosti krađe pristupnih podataka zlonamjernog softvera GhostBat koje se razvijaju.
16. Sarađivati sa organima za sprovođenje zakona i agencijama za sajber sigurnost radi poremećaja infrastrukture za krađu identiteta i pozadinskih usluga ekosistema GhostX, čime se smanjuje dostupnost zlonamjernih aplikacija i servera za komandovanje i kontrolu koji se koriste u tekućim kampanjama.

Pravovremenim rješavanjem ovih ranjivosti i usaglašavanjem odbrane protiv prilagodljivih taktika zlonamjernog softvera GhostBat unutar ekosistema GhostX, korisnici i organizacije mogu značajno smanjiti svoju izloženost ovom pejzažu prijetnji koji se razvija.