Вредонос с функцией «бу!»
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Исследователи обнаружили необычный вредонос для Windows: KGB RAT способен не только красть данные и давать злоумышленникам удалённый доступ к компьютеру, но и пугать владельца скримерами и принудительным «синим экраном смерти» — BSOD, системной ошибкой Windows, которая обычно выглядит как аварийное завершение работы. К Хэллоуину киберпреступники подготовили аттракцион, где билет оплачивается чужой приватностью.
Компания Group-IB опубликовала подробный отчёт о KGB RAT — трояне удалённого доступа (RAT, от английского Remote Access Trojan). Вредонос рекламируют на подпольных форумах как минимум с конца 2025 года, однако инфраструктура, связанная с ним, по данным исследователей, существовала уже в январе 2022-го. Возможно, некоторое время создатели использовали программу сами, а затем решили предложить её другим.
KGB RAT продают по модели «вредонос как услуга» (MaaS): подписка стоит от 150 долларов в месяц до 800 долларов за год. Месячный план даёт доступ на один месяц, годовой — на весь год и обходится примерно в 67 долларов в месяц. Даже самый дешёвый вариант включает удалённый рабочий стол, управление файлами, доступ к веб-камере и микрофону, перехват нажатий клавиш, восстановление паролей, закрепление в системе после перезагрузки и средства обхода обнаружения.
Троян также следит за буфером обмена. Если пользователь копирует адрес криптовалютного кошелька и собирается вставить его, вредонос подменяет адрес на кошелёк преступников. Ошибка в одной вставке — и перевод уходит не туда, куда планировалось.
В более дорогих тарифах есть управление несколькими клиентами, настройка вредоносной нагрузки, дополнительные средства уклонения от обнаружения, поддержка плагинов и расширенная серверная инфраструктура. Отдельно предлагают дополнение Network Spreading за 500 долларов: оно, как заявлено, позволяет вредоносу автоматически распространяться по уже заражённым сетям.
Но необычность KGB RAT — не только в наборе шпионских функций. Group-IB обнаружила так называемые «функции психологического давления»: скримеры, внезапные пугающие изображения и принудительный показ BSOD. Сами разработчики называют их «настройками для развлечения». Исследователи считают это признаком того, что операторы готовы использовать тревогу жертвы наряду с кражей данных. В наборе уже есть перехват паролей, кража криптовалюты, извлечение файлов и удалённое управление компьютером — так что развлекательная часть выглядит особенно заботливо.
Для уклонения от защиты KGB RAT использует обфускацию — сокрытие или запутывание кода, криптор, который, по утверждению продавцов, обновляется ежедневно, проверку на виртуальную среду анализа и механизмы отключения либо обхода защитных средств. О заражении злоумышленников уведомляет Telegram-бот, а местоположение заражённого устройства программа определяет с помощью сервиса ip-api.com. Group-IB выявила нескольких операторов, использующих один и тот же конструктор вредоноса; как минимум один из них специализировался на краже криптовалюты.
Продавцы стараются представить KGB RAT как легальный инструмент: на сайте размещены поддельные отзывы, утверждение, что им пользуются более 10 тысяч IT-специалистов, учебный раздел и инструкции в видеоформате. Когда журналисты попытались открыть сайт, он выдавал ошибку «502 Bad Gateway». Это может означать, что ресурс закрыли, но возможны и временный сбой сервера или проблемы с хостингом — сайт ещё может вернуться.
Пока ресурс работал, на нём были юридический раздел, оговорки и предупреждения с призывами использовать программу законно. Там же размещались обучающие видео по установке, настройке и применению. Удобный курс по легальному использованию инструмента, который умеет красть пароли и криптовалюту, — жанр, где самооправдание обычно идёт в комплекте с установщиком.
PEREC.RU
История KGB RAT — почти готовый рекламный буклет из мира киберпреступности: вредонос продают по подписке, комплектуют инструкциями и называют легальным инструментом, а в качестве бонуса предлагают пугать владельца компьютера. За этой комической оболочкой — реальные возможности для кражи данных и денег.
Group-IB обнаружила и подробно описала KGB RAT, троян удалённого доступа для Windows. Его рекламируют на подпольных форумах с конца 2025 года. При этом исследователи нашли признаки существования инфраструктуры, связанной с программой, ещё в январе 2022-го. Возможно, разработчики сначала использовали её сами, а затем решили продавать другим.
Программа распространяется по модели Malware-as-a-Service — «вредонос как услуга». Это означает, что покупателю не обязательно создавать собственный троян: он платит подписку и получает доступ к готовому инструменту. Тарифы KGB RAT начинаются со 150 долларов за месяц и доходят до 800 долларов за год. Годовая подписка в пересчёте стоит около 67 долларов в месяц.
Базовый тариф уже включает удалённый доступ к компьютеру, управление файлами, доступ к веб-камере и микрофону, перехват нажатий клавиш, восстановление паролей, закрепление в системе и функции обхода обнаружения. Троян также способен следить за буфером обмена: если пользователь копирует адрес криптовалютного кошелька, вредонос подменяет его при вставке адресом, принадлежащим злоумышленникам.
В более дорогих планах предусмотрены управление несколькими заражёнными устройствами, настройка вредоносной нагрузки, поддержка плагинов, дополнительные средства обхода защиты и более развитая серверная инфраструктура. За отдельные 500 долларов продавцы предлагают Network Spreading — дополнение, которое, согласно описанию, позволяет вредоносу автоматически распространяться внутри уже скомпрометированных сетей.
Особенность KGB RAT, на которую отдельно указывают исследователи, — набор средств запугивания. Он может показывать скримеры и внезапные пугающие изображения, а также принудительно вызывать BSOD — «синий экран смерти», то есть экран критической ошибки Windows. Создатели называют эти возможности «настройками для развлечения». Group-IB описывает их как психологическое давление и отмечает, что операторы готовы использовать тревогу жертвы наряду с кражей данных.
Для уклонения от обнаружения троян использует обфускацию, то есть запутывание кода, криптор, который, по заявлениям продавцов, обновляется ежедневно, распознавание сред анализа и механизмы отключения либо обхода защитных средств. Telegram-бот уведомляет злоумышленников о новом заражённом устройстве. Сервис ip-api.com используется для определения его местоположения. Group-IB обнаружила нескольких операторов, работающих с одним конструктором KGB RAT; как минимум один из них сосредоточен на краже криптовалюты.
Продавцы стараются придать продукту видимость законности. На сайте размещались поддельные отзывы, заявление о том, что программой пользуются более 10 тысяч IT-специалистов, обучающий раздел и видеоинструкции. Когда журналисты попытались открыть ресурс, он выдавал ошибку «502 Bad Gateway». Это может быть временной неисправностью сервера или проблемой с хостингом, но не исключено и закрытие сайта; он может снова заработать.
По данным Group-IB, пока сайт был доступен, на нём находились юридический раздел, оговорки и предупреждения, призывающие использовать программу законно. Там же публиковались видео по установке, настройке и применению. Наличие таких заявлений не отменяет описанных исследователями функций KGB RAT: удалённого управления, перехвата данных, подмены криптоадресов и запугивания пользователя.
