Исследователи Group-IB обнаружили Windows-троян KGB RAT, который не ограничивается кражей паролей и слежкой за пользователем. Вредоносная программа позволяет хакерам устраивать психологические атаки, пугать жертву внезапными звуками и изображениями и намеренно вызывать синий экран смерти.
В опубликованном 14 октября исследовании специалисты разобрали многофункциональный инструмент удалённого управления, который продают на хакерских форумах под видом легального программного обеспечения. Разработчики предлагают KGB RAT как готовый сервис для киберпреступников, объединяя шпионаж, кражу данных, вымогательство и необычный набор функций для запугивания владельца заражённого компьютера.
Самая странная часть арсенала скрывается в разделе «Fun Settings», который создатели трояна называют развлекательным. Оператор может запускать скримеры с пугающими звуками и изображениями, неожиданно выводить на экран шокирующие сообщения и принудительно вызывать критический сбой Windows с появлением синего экрана. Исследователи считают, что подобные возможности расширяют круг потенциальных покупателей за счёт злоумышленников, заинтересованных не только в деньгах, но и в запугивании людей.
Основные функции KGB RAT гораздо опаснее подобных «развлечений». Троян предоставляет удалённый доступ к рабочему столу, позволяет управлять мышью и клавиатурой, просматривать и изменять файлы, включать веб-камеру и микрофон. Встроенный кейлоггер записывает нажатия клавиш, а отдельный модуль собирает учётные данные из браузеров, приложений и операционной системы. Получив доступ к компьютеру, преступник потенциально может следить за действиями владельца практически непрерывно.
Особую угрозу представляет функция Hidden VNC, которая создаёт скрытый сеанс удалённого рабочего стола. Злоумышленник получает возможность взаимодействовать с системой, пока пользователь не видит происходящего на собственном мониторе. В отличие от обычного удалённого управления, такой режим позволяет выполнять действия в отдельной невидимой сессии, не привлекая внимания владельца компьютера.
В состав вредоносного комплекса также входит модуль шифрования файлов для последующего вымогательства. Разработчики заявляют о поддержке повышения привилегий, обхода контроля учётных записей Windows, скрытого закрепления в системе и распространения по локальной сети. Таким образом, один инструмент способен заменить сразу несколько специализированных вредоносных программ, хотя наличие всех рекламируемых возможностей в каждом образце исследователи не подтверждали.
Для кражи криптовалюты предусмотрен модуль CryptoClipper. Программа следит за буфером обмена и подменяет скопированные адреса криптовалютных кошельков реквизитами злоумышленника. Если пользователь не проверит адрес перед отправкой средств, перевод уйдёт преступнику. Group-IB обнаружила один образец KGB RAT с активированной функцией подмены и тремя заранее заданными адресами для Bitcoin, Ethereum и TRC-20 в сети Tron.
Операторы получают уведомления о новых заражённых компьютерах через Telegram Bot API. Для определения географического положения жертвы используется сервис ip-api.com, а непосредственно управление вредоносной программой может происходить через TCP-соединения. Анализ конфигураций показал, что разные образцы используют отдельные Telegram-боты и идентификаторы чатов. По оценке исследователей, обнаруженные экземпляры принадлежат нескольким операторам, использующим общий конструктор.
Разработчики особенно активно рекламируют способность KGB RAT обходить антивирусы, включая Microsoft Defender. Для маскировки применяется встроенный криптор, который изменяет представление исполняемого кода и затрудняет обнаружение по известным сигнатурам. Авторы обещают ежедневные обновления и называют продукт полностью невидимым для защитных решений, однако Group-IB смогла обнаружить исследованные образцы по их поведению после запуска. Следовательно, рекламные заявления о полной неуязвимости для антивирусов не соответствуют результатам проверки.
Для подготовки атак покупателям предлагают конструктор вредоносных файлов в форматах EXE, BAT, HTA и REG. Дополнительные инструменты позволяют присоединять вредоносный компонент к легитимным исполняемым файлам и создавать изменённые варианты программы. Разработчики также рекламируют управление несколькими заражёнными машинами одновременно, что позволяет использовать KGB RAT не только против отдельных пользователей, но и для атак на корпоративные сети.
Коммерческая модель напоминает подписку на обычное программное обеспечение. Месячный доступ стоит от 150 долларов, годовая лицензия предлагается за 800 долларов. Дорогие тарифы включают дополнительные инструменты настройки, управления несколькими компьютерами и маскировки. Отдельно за 500 долларов продаётся модуль Network Spreading, который, по утверждению разработчиков, помогает автоматически распространять троян внутри скомпрометированной сети.
При заражении KGB RAT использует несколько механизмов закрепления в Windows. Исследователи обнаружили изменения разделов автозапуска реестра, создание записей в папке Startup и запланированных заданий, в том числе под названием ChromeUpdate. Вредонос также способен выводить поддельное сообщение о системной ошибке сразу после запуска, отвлекая пользователя, пока выполняется установка скрытых компонентов.
Несмотря на активное продвижение KGB RAT в конце 2025 года, история разработки может оказаться значительно длиннее. Специалисты Group-IB обнаружили свидетельства существования серверной инфраструктуры версии 0.1 ещё в конце января 2022 года. Технический анализ также выявил связь программы с кодовой базой NjRAT, давно известного трояна удалённого доступа. Поэтому речь идёт не о принципиально новой технологии, а о развитии существующего вредоносного инструментария.
Group-IB не приводит подтверждённого количества заражённых компьютеров или размера причинённого ущерба. При этом исследователи установили, что обнаруженные образцы используют разные конфигурации и принадлежат, вероятно, нескольким независимым операторам. Наличие активированного CryptoClipper подтверждает подготовку отдельных экземпляров к финансовым атакам, но не позволяет определить, сколько криптовалюты удалось похитить.
Для защиты специалисты рекомендуют не запускать неизвестные исполняемые файлы из писем, мессенджеров и неофициальных источников, обращать внимание на неожиданные запросы повышения привилегий Windows и проверять подозрительные задания автозапуска. Компаниям советуют контролировать запуск непроверенных программ и применять средства поведенческого обнаружения. Главная опасность KGB RAT заключается не в необычных скримерах, а в доступности готового набора инструментов, с помощью которого даже сравнительно неопытный преступник может получить полный контроль над чужим компьютером.