Виявлено шкідливе ПЗ KGB RAT, яке намагається буквально налякати жертву

Експерти з кібербезпеки Group-IB розповіли про троян KGB RAT. Окрім традиційних шкідливих функцій, він чинить психологічний вплив на власника зараженого комп'ютера, демонструючи йому лякаючі зображення та викликаючи «синій екран смерті» Windows, який зазвичай з'являється при виникненні фатального збою ОС.

Джерело зображення: Beth Teutschmann / unsplash.com

Шкідливе ПЗ продається на форумах з кінця 2025 року, але сліди його інфраструктури відносяться до початку 2022 року. Ймовірно, спочатку програма використовувалася в приватному порядку, після чого стала доступною широкому колу зловмисників. KGB RAT поширюється за моделлю «шкідливе ПЗ як сервіс» (MaaS) — підписка коштує від 150 доларів на місяць до 800 доларів на рік. Найдешевший тариф включає віддалений доступ до робочого столу, управління файлами, доступ до веб-камери та мікрофону, перехоплення натискань клавіш, відновлення паролів, закріплення в системі та різні механізми для обходу засобів захисту. Троян відстежує вміст буфера обміну і при вставці даних може підміняти адреси гаманців користувача на адреси, контрольовані зловмисниками.

Дорожчі тарифи включають можливість управління кількома клієнтами, налаштування корисного навантаження, додаткові механізми прихованості, підтримку плагінів та доступ до широкої серверної інфраструктури. За 500 доларів можна придбати окремий модуль для розповсюдження по мережі. Унікальним шкідливе ПЗ роблять засоби психологічного впливу: лякаючі візуальні ефекти, раптове появлення страшних зображень і примусовий виклик «синього екрану смерті» Windows — хоча розробники KGB RAT охарактеризували це як веселощі. Це свідчить про те, що зловмисники готові використовувати в своїх цілях тривожний стан жертви поряд із крадіжкою даних.

Шкідливе ПЗ спроектовано так, щоб уникати виявлення — воно використовує методи обфускації, щоденно оновлюваний криптор (засіб для приховування коду), механізми виявлення пісочниць — серед для аналізу загроз, а також засоби відключення або обходу захисних систем. Для сповіщення зловмисників про зараження нового комп'ютера використовується бот у Telegram, а для визначення його місцезнаходження — легітимний сервіс. Цей конструктор шкідливого ПЗ використовують кілька різних операторів, і як мінімум один спеціалізується на крадіжці криптовалюти. KGB RAT позиціонується як легальний інструмент: на його сайті розміщуються ймовірно вигадані відгуки клієнтів, і стверджується, що програмою користуються понад 10 000 IT-спеціалістів. Є навіть розділ з навчальними матеріалами та відеоінструкціями, а також сторінка з відмовою від відповідальності та закликом використовувати програму лише в законних цілях.

Хочеш дізнатися більше — читай відгуки