Malware con función de «¡boo!»
Los investigadores han descubierto un malware inusual para Windows: KGB RAT no solo puede robar datos y dar a los atacantes acceso remoto al ordenador, sino también asustar a su propietario con sustos repentinos y una «pantalla azul de la muerte» forzada (BSOD), un error del sistema Windows que suele parecer un cierre inesperado. Para Halloween, los ciberdelincuentes han preparado una atracción cuya entrada se paga con la privacidad de otra persona.
La empresa Group-IB ha publicado un informe detallado sobre KGB RAT, un troyano de acceso remoto (RAT, siglas de Remote Access Trojan). El malware se anuncia en foros clandestinos al menos desde finales de 2025, aunque, según los investigadores, la infraestructura relacionada con él ya existía en enero de 2022. Es posible que sus creadores utilizaran el programa durante un tiempo y luego decidieran ofrecérselo a otros.
KGB RAT se vende como «malware como servicio» (MaaS): la suscripción cuesta desde 150 dólares al mes hasta 800 dólares al año. El plan mensual da acceso durante un mes; el anual, durante todo un año, y sale por unos 67 dólares mensuales. Incluso la opción más barata incluye escritorio remoto, gestión de archivos, acceso a la cámara web y al micrófono, registro de pulsaciones, recuperación de contraseñas, persistencia en el sistema tras reiniciarlo y herramientas para eludir la detección.
El troyano también vigila el portapapeles. Si el usuario copia la dirección de un monedero de criptomonedas y se dispone a pegarla, el malware la sustituye por la dirección de un monedero de los delincuentes. Un error al pegar y la transferencia acaba donde nadie la había planeado.
Los planes más caros incluyen la gestión de varios clientes, la configuración de la carga maliciosa, herramientas adicionales para eludir la detección, compatibilidad con complementos y una infraestructura de servidores más avanzada. También ofrecen por separado el complemento Network Spreading, por 500 dólares: según se afirma, permite que el malware se propague automáticamente por redes ya infectadas.
Pero lo que hace inusual a KGB RAT no es solo su repertorio de funciones espía. Group-IB descubrió las llamadas «funciones de presión psicológica»: sustos repentinos, imágenes aterradoras que aparecen de golpe y la presentación forzada de una BSOD. Sus propios desarrolladores las llaman «ajustes de entretenimiento». Los investigadores creen que esto demuestra que los operadores están dispuestos a explotar la angustia de la víctima además de robar datos. El paquete ya incluye captura de contraseñas, robo de criptomonedas, extracción de archivos y control remoto del ordenador, así que la parte «entretenida» resulta especialmente considerada.
Para esquivar las defensas, KGB RAT utiliza ofuscación —ocultación o confusión del código—, un criptador que, según afirman los vendedores, se actualiza a diario, comprobaciones para detectar entornos virtuales de análisis y mecanismos para desactivar o sortear las herramientas de protección. Un bot de Telegram avisa a los atacantes de las infecciones, y el programa determina la ubicación del dispositivo infectado mediante el servicio ip-api.com. Group-IB identificó a varios operadores que utilizan el mismo generador de malware; al menos uno se especializaba en robar criptomonedas.
Los vendedores intentan presentar KGB RAT como una herramienta legítima: en su sitio web publicaron reseñas falsas, afirmaron que lo utilizan más de 10.000 especialistas en TI y ofrecieron una sección de formación e instrucciones en vídeo. Cuando los periodistas intentaron abrir la página, apareció el error «502 Bad Gateway». Esto podría significar que el recurso ha sido cerrado, aunque también puede deberse a una caída temporal del servidor o a problemas de alojamiento; el sitio aún podría volver.
Mientras el sitio estuvo operativo, incluía una sección legal, cláusulas de exención de responsabilidad y advertencias que instaban a utilizar el programa legalmente. También ofrecía vídeos formativos sobre instalación, configuración y uso. Un curso práctico sobre el uso legal de una herramienta capaz de robar contraseñas y criptomonedas: un género en el que la autojustificación suele venir incluida con el instalador.
PEREC.RU
La historia de KGB RAT es casi un folleto publicitario del mundo de la ciberdelincuencia: el malware se vende por suscripción, viene con instrucciones y se presenta como una herramienta legítima, con el añadido de que puede asustar al dueño del ordenador. Bajo esa envoltura cómica hay capacidades reales para robar datos y dinero.
Group-IB ha descubierto y descrito en detalle KGB RAT, un troyano de acceso remoto para Windows. Se anuncia en foros clandestinos desde finales de 2025. Sin embargo, los investigadores encontraron indicios de que la infraestructura relacionada con el programa ya existía en enero de 2022. Es posible que los desarrolladores primero lo utilizaran ellos mismos y después decidieran venderlo a otros.
El programa se distribuye como Malware-as-a-Service, «malware como servicio». Esto significa que el comprador no tiene por qué crear su propio troyano: paga una suscripción y obtiene acceso a una herramienta lista para usar. Las tarifas de KGB RAT empiezan en 150 dólares al mes y llegan a 800 dólares al año. La suscripción anual equivale a unos 67 dólares mensuales.
El plan básico ya incluye acceso remoto al ordenador, gestión de archivos, acceso a la cámara web y al micrófono, registro de pulsaciones, recuperación de contraseñas, persistencia en el sistema y funciones para eludir la detección. El troyano también puede vigilar el portapapeles: si el usuario copia la dirección de un monedero de criptomonedas, el malware la sustituye al pegarla por una dirección que pertenece a los atacantes.
Los planes más caros ofrecen la gestión de varios dispositivos infectados, la configuración de la carga maliciosa, compatibilidad con complementos, herramientas adicionales para sortear las defensas y una infraestructura de servidores más desarrollada. Por 500 dólares adicionales, los vendedores ofrecen Network Spreading, un complemento que, según su descripción, permite al malware propagarse automáticamente dentro de redes ya comprometidas.
Una característica de KGB RAT que los investigadores destacan por separado es su repertorio para asustar. Puede mostrar sustos repentinos e imágenes aterradoras, además de forzar una BSOD —la «pantalla azul de la muerte», es decir, la pantalla de error crítico de Windows—. Los creadores llaman a estas funciones «ajustes de entretenimiento». Group-IB las describe como presión psicológica y señala que los operadores están dispuestos a explotar la angustia de la víctima además de robar datos.
Para eludir la detección, el troyano utiliza ofuscación —es decir, código confuso—, un criptador que, según los vendedores, se actualiza a diario, detección de entornos de análisis y mecanismos para desactivar o sortear las herramientas de protección. Un bot de Telegram avisa a los delincuentes cuando hay un nuevo dispositivo infectado. El servicio ip-api.com sirve para determinar su ubicación. Group-IB encontró a varios operadores que trabajan con el mismo generador de KGB RAT; al menos uno se centra en el robo de criptomonedas.
Los vendedores intentan dar al producto una apariencia de legalidad. En el sitio web había reseñas falsas, la afirmación de que más de 10.000 especialistas en TI utilizan el programa, una sección de formación e instrucciones en vídeo. Cuando los periodistas intentaron acceder al recurso, apareció el error «502 Bad Gateway». Podría tratarse de un fallo temporal del servidor o de un problema de alojamiento, aunque tampoco se descarta que el sitio haya sido cerrado; podría volver a estar operativo.
Según Group-IB, mientras el sitio estuvo disponible, incluía una sección legal, cláusulas de exención de responsabilidad y advertencias que instaban a utilizar el programa legalmente. También publicaba vídeos sobre instalación, configuración y uso. Estas declaraciones no cambian las funciones de KGB RAT descritas por los investigadores: control remoto, interceptación de datos, sustitución de direcciones de criptomonedas y coacción mediante el miedo.
