KGB RAT: un NjRAT „reambalat”, vândut ca serviciu și promovat drept „complet nedetectabil”

Un troian de acces la distanță promovat sub numele KGB RAT este închiriat infractorilor ca un kit complet de spionaj pentru Windows. Include furt de credențiale, keylogger, control ascuns de la distanță și un „crypto clipper”. Vânzătorii promit un crypter care trece de Windows Defender. Cercetarea realizată de Group-IB arată că instrumentul este real și capabil. Arată însă și că promisiunea de „nedetectabil” trebuie privită cu scepticism.

Ce s-a întâmplat

Analiștii Group-IB au identificat și analizat KGB RAT. Malware-ul este promovat pe forumuri underground din a doua parte a lui 2025, dar o parte din infrastructura sa de servere pare să dateze încă din ianuarie 2022. Este vândut în model malware-as-a-service: cumpărătorii plătesc pentru acces, fără să scrie cod. Vânzătorul promite actualizări zilnice ale crypter-ului și un generator care produce payload-uri în format EXE, BAT, HTA și REG.

Site-ul de vânzare îl prezintă drept „instrument profesional de administrare la distanță”. În spatele acestei imagini, mostrele analizate se bazează pe o versiune obfuscată a NjRAT, un RAT open-source cunoscut de ani buni, ambalată comercial. Cu alte cuvinte, KGB RAT nu aduce o tehnică nouă. Este un motor vechi, cu vopsea nouă și abonament.

În mostra examinată de Group-IB, malware-ul:

• Se deghizează și persistă: se copiază într-un folder temporar, se relansează ca svchost.exe și creează un task programat numit ChromeUpdate, care rulează la autentificarea utilizatorului.
• Modifică setări: schimbă setarea Windows de afișare a fișierelor de sistem ascunse și o setare legată de avertismentele zonelor de securitate.
• Analizează mai întâi sistemul: interoghează WMI pentru sistemul de operare, procesele active și soluțiile de securitate instalate. Verifică și dacă rulează într-o mașină virtuală sau lângă unelte de analiză, ca să evite sandbox-urile.
• Fură credențiale: citește datele din Windows Credential Manager (autentificări salvate pentru site-uri, resurse de rețea și aplicații). Include și un keylogger și poate captura ecranul și clipboard-ul.
• Controlează desktopul pe ascuns: un modul hidden VNC (HVNC) îi oferă atacatorului o sesiune la distanță pe care victima s-ar putea să n-o vadă niciodată.
• Raportează pe două canale: află IP-ul public al victimei printr-un serviciu de geolocalizare și anunță fiecare infectare prin Telegram Bot API. Controlul efectiv se face prin conexiuni directe la serverele de comandă și control (C2).
• Deturnează plăți crypto: una dintre mostre conținea un clipper care înlocuiește adresele de portofel copiate cu adresa atacatorului.

Despre afirmația „ocolește Defender”

Aici merită citit cu atenție. Vânzătorii susțin că crypter-ul poate ocoli sau dezactiva Windows Defender și alte antivirusuri. Group-IB a documentat evaziunea promovată și comportamentul malițios. Nu a demonstrat însă că fiecare versiune păcălește Defender pe orice sistem. Propria platformă de detonare a Group-IB a detectat mostrele după comportament, chiar și după obfuscare sau despachetare.

Un crypter schimbă felul în care arată fișierul, dar nu schimbă ce face malware-ul. Acolo apărătorii au avantajul.

De ce contează

RAT-urile de tip „marfă” ca acesta coboară ștacheta pentru atacatori. Un cumpărător fără abilități de programare primește la pachet furt de credențiale, persistență și acces direct la tastatura victimei. O singură stație infectată poate expune credențiale corporative salvate, sesiuni VPN și SaaS sau transferuri crypto. Astfel, punctul de plecare pentru o intruziune mai mare devine ieftin de obținut.

Ce să faci

1. Ține protecția endpoint activă și la zi. Asigură-te că Defender sau EDR-ul are tamper protection activat și detecție comportamentală pornită, nu doar semnături.
2. Caută semnele comportamentale. Executabile care rulează din %TEMP% sau alte foldere în care poate scrie utilizatorul, un svchost.exe în afara C:\Windows\System32, task-uri programate noi (mai ales ChromeUpdate) create de astfel de procese.
3. Monitorizează traficul de ieșire al proceselor care nu sunt browsere. Configurează alerte când api.telegram.org sau servicii de geolocalizare IP sunt contactate de altceva decât o aplicație aprobată. Adaugă adresele C2 publicate pe listele de blocare.
4. Restricționează software-ul neaprobat. Folosește application allow-listing (WDAC/AppLocker) și blochează formate de payload bazate pe scripturi, precum HTA, acolo unde nu sunt necesare.
5. Redu ce poate fura un infostealer. Descurajează salvarea credențialelor conturilor privilegiate în Credential Manager și în browsere și impune MFA rezistent la phishing.
6. Dacă suspectezi o infectare, izolează dispozitivul, păstrează log-urile și investighează de pe un sistem curat. Apoi resetează toate credențialele și sesiunile folosite pe acel calculator.

Indicatori de rețea (defanged)

Raportul Group-IB include și hash-uri SHA-256 pentru mostrele analizate. Importă-le din cercetarea originală în platforma de threat intelligence sau în SIEM.

Vrei să verifici dacă endpoint-urile și serviciile tale expuse ar detecta o amenințare ca aceasta? Echipa 4Tify te poate ajuta să îți evaluezi suprafața de atac.

Cercetarea originală: Group-IB. Relatare: Cyber Security News.