Специалисты по кибербезопасности компании Group-IB сообщили об обнаружении трояна KGB RAT, который выделяется среди аналогичных вредоносных программ не только классическим набором функций для кражи данных, но и инструментами психологического давления на жертву. По данным исследователей, программа демонстрирует пользователю заражённого компьютера пугающие изображения и принудительно вызывает «синий экран смерти» Windows — состояние, которое в штатном режиме появляется при фатальном сбое операционной системы. Таким образом, злоумышленники используют не только технический, но и эмоциональный канал воздействия, эксплуатируя тревожное состояние жертвы параллельно с извлечением конфиденциальной информации.
Психологическое воздействие как встроенная функция
Средства психологического воздействия разработчики KGB RAT в описании продукта характеризуют как «забавные настройки», однако именно они делают вредонос примечательным в своём роде. Помимо резких появлений пугающих визуальных эффектов и изображений, троян способен принудительно инициировать «синий экран смерти», имитируя критический сбой системы. По оценке экспертов, это свидетельствует о том, что операторы программы целенаправленно применяют страх и дезориентацию жертвы как дополнительный механизм контроля, дополняющий традиционную кражу данных и перехват управления устройством.
Модель распространения и структура тарифов
KGB RAT распространяется по модели «вредоносное ПО как сервис» (MaaS): злоумышленники покупают доступ к конструктору по подписке, стоимость которой варьируется от 150 долларов в месяц до 800 долларов в год. Самый доступный тариф включает удалённый доступ к рабочему столу, управление файлами, доступ к веб-камере и микрофону, перехват нажатий клавиш, восстановление паролей, закрепление в системе и механизмы обхода средств защиты. Отдельно отмечается, что троян отслеживает содержимое буфера обмена и при вставке данных способен подменять адреса криптографических кошельков пользователя на подконтрольные злоумышникам. Более дорогие пакеты добавляют управление несколькими клиентами, настройку полезной нагрузки, дополнительные механизмы скрытности, поддержку плагинов и доступ к серверной инфраструктуре, а за 500 долларов предлагается отдельный модуль для распространения по сети.
Механизмы обхода защиты и уведомления операторов
Вредонос спроектирован с расчётом на избегание обнаружения: в нём применяются методы обфускации, ежедневно обновляющийся криптор для скрытия кода, механизмы выявления песочниц — сред для анализа угроз, а также средства отключения или обхода защитных систем. Операторам о заражении нового компьютера сообщает бот в Telegram, а для определения местоположения жертвы используется легитимный сервис. По данным Group-IB, конструктор вредоносного ПО используют несколько разных операторов, причём как минимум один из них специализируется на краже криптовалюты.
Маркетинговая «легализация» и хронология
Примечательной чертой KGB RAT является попытка представить его как легальный инструмент: на сайте продукта размещены предположительно вымышленные отзывы клиентов, утверждается, что программой пользуются более 10 000 IT-специалистов, а также представлены обучающие материалы, видеоинструкции, страница с отказом от ответственности и призыв использовать программу только в законных целях. Вредонос продаётся на форумах с конца 2025 года, однако следы его инфраструктуры относятся к началу 2022 года, что указывает на вероятный переход из частного использования в доступ для широкого круга злоумышленников.
