Дослідники виявили KGB RAT із функціями фальшивого синього екрана
Group-IB дослідила троян KGB RAT, який поєднує віддалений доступ, крадіжку даних і лякаючі ефекти для жертв.
Дослідники з Group-IB проаналізували троян віддаленого доступу KGB RAT, який, окрім викрадення даних і контролю заражених пристроїв, має функції психологічного тиску на жертв. Як повідомляє TechRadar, програма може показувати фальшивий «синій екран смерті», запускати різкі лякаючі ефекти та відтворювати звуки.
За даними Group-IB, KGB RAT рекламують на підпільних форумах із кінця 2025 року. Водночас дослідники виявили ознаки існування його інфраструктури щонайменше з січня 2022 року. Шкідливе ПЗ пропонують за моделлю malware-as-a-service: місячна підписка коштує 150 доларів, а річна — 800 доларів.
Можливості трояна
Навіть базовий пакет, за інформацією дослідників, передбачає віддалений доступ до робочого столу, керування файлами, доступ до вебкамери й мікрофона, кейлогінг, відновлення паролів та механізми закріплення в системі. KGB RAT також може відстежувати скопійовані адреси криптогаманців у буфері обміну та підміняти їх адресами, контрольованими зловмисниками.
Дорожчі пакети містять інструменти керування кількома клієнтами, налаштування шкідливого навантаження, додаткові засоби обходу захисту, підтримку плагінів і розширену серверну інфраструктуру. Розробники окремо пропонують доповнення Network Spreading за 500 доларів, яке, за їхніми твердженнями, дає змогу автоматично поширювати програму в скомпрометованих мережах.
Приховування та психологічний тиск
Group-IB назвала незвичні візуальні та звукові ефекти набором функцій психологічного переслідування. Розробники KGB RAT, за висновками дослідників, позначають їх як «веселі налаштування». У Group-IB вважають, що це свідчить про готовність операторів поєднувати викрадення даних із використанням тривожності жертв.
Троян використовує обфускацію, криптер із нібито щоденним оновленням, виявлення пісочниць і механізми вимкнення або обходу захисних засобів. Про нове зараження пристрою зловмисників сповіщає Telegram-бот, а для визначення місця розташування скомпрометованого пристрою програма звертається до сервісу ip-api.com. Дослідники також ідентифікували кількох операторів, що використовували один і той самий конструктор, зокрема щонайменше одного, зосередженого на викраденні криптовалюти.
