Cybersicherheitsexperten von Group-IB haben die Entdeckung des Trojaners KGB-RAT gemeldet, der sich unter ähnlicher Schadsoftware nicht nur durch einen klassischen Funktionsumfang zum Datendiebstahl auszeichnet, sondern auch durch Werkzeuge zur psychologischen Druckausübung auf das Opfer. Forscherberichten zufolge zeigt das Programm dem Benutzer des infizierten Computers beängstigende Bilder und löst erzwungenermaßen den «Bluescreen of Death» von Windows aus — einen Zustand, der im Normalbetrieb nur bei einem fatalen Absturz des Betriebssystems auftritt. Damit nutzen die Angreifer neben dem technischen auch einen emotionalen Wirkungskanal, indem sie den Angstzustand des Opfer ausnutzen und gleichzeitig vertrauliche Informationen abgreifen.
Psychologische Wirkung als integrierte Funktion
Die Entwickler von KGB-RAT beschreiben die Werkzeuge zur psychologischen Beeinflussung in der Produktbeschreibung als «lustige Einstellungen», doch gerade diese machen die Schadsoftware in ihrer Art bemerkenswert. Neben dem plötzlichen Auftauchen furchterregender visueller Effekte und Bilder ist der Trojaner in der Lage, den «Bluescreen» erzwungenermaßen zu initiieren und einen kritischen Systemabsturz zu imitieren. Experten zufolge zeigt dies, dass die Betreiber des Programms Angst und Desorientierung des Opfers gezielt als zusätzlichen Kontrollmechanismus einsetzen, der den herkömmlichen Datendiebstahl und die Gerätesteuerung ergänzt.
Verbreitungsmodell und Preisstruktur
KGB-RAT wird nach dem Malware-as-a-Service-Modell (MaaS) vertrieben: Angreifer kaufen den Zugriff auf einen Builder im Abonnement, dessen Kosten zwischen 150 US-Dollar pro Monat und 800 US-Dollar pro Jahr variieren. Der günstigste Tarif umfasst Remote-Desktop-Zugriff, Dateiverwaltung, Webcam- und Mikrofonzugriff, Keylogging, Passworterholung, Systempersistenz und Mechanismen zur Umgehung von Schutzmaßnahmen. Es wird besonders hervorgehoben, کہ der Trojaner den Zwischenspeicher (Clipboard) überwacht und beim Einfügen von Daten die Adressen der Kryptowährungs-Wallets des Benutzers gegen die von den Angreifern kontrollierten austauschen kann. Teurere Pakete fügen die Verwaltung mehrerer Clients, Payload-Anpassungen, zusätzliche Tarnmechanismen, Plugin-Unterstützung und den Zugriff auf die Serverinfrastruktur hinzu, während für 500 US-Dollar ein separates Modul zur Netzwerkausbreitung angeboten wird.
Mechanismen zur Schutzumgehung und Betreiberbenachrichtigungen
Die Schadsoftware ist auf die Vermeidung von Erkennung ausgelegt: Sie verwendet Obfuskationsmethoden, einen täglich aktualisierten Crypter zum Verstecken des Codes, Mechanismen zur Erkennung von Sandboxen — Umgebungen zur Bedrohungsanalyse — sowie Mittel zum Deaktivieren oder Umgehen von Sicherheitssystemen. Ein Telegram-Bot benachrichtigt die Betreiber über die Infektion eines neuen Computers, und zur Bestimmung des Standorts des Opfers wird ein legitimer Dienst genutzt. Laut Group-IB wird der Schadsoftware-Builder von mehreren verschiedenen Betreibern verwendet, wobei mindestens einer von ihnen auf Kryptowährungsdiebstahl spezialisiert ist.
Marketing-«Legalisierung» und Chronologie
Ein bemerkenswertes Merkmal von KGB-RAT ist der Versuch, es als legales Werkzeug darzustellen: Auf der Produktwebsite befinden sich vermutlich fiktive Kundenbewertungen, es wird behauptet, dass das Programm von über 10.000 IT-Spezialisten genutzt wird, und es werden Schulungsmaterialien, Videoanleitungen, eine Haftungsausschlussseite sowie ein Aufruf zur Nutzung des Programms ausschließlich für legale Zwecke bereitgestellt. Die Schadsoftware wird seit Ende 2025 in Foren verkauft, Spuren ihrer Infrastruktur reichen jedoch bis Anfang 2022 zurück, was auf einen wahrscheinlichen Übergang von der privaten Nutzung zur Verfügbarkeit für einen breiten Kreis von Angreifern hindeutet.
