Спеціалісти з кібербезпеки компанії Group-IB повідомили про виявлення трояна KGB RAT, який виділяється серед аналогічних шкідливих програм не лише класичним набором функцій для крадіжки даних, але й інструментами психологічного тиску на жертву. За даними дослідників, програма демонструє користувачеві зараженого комп'ютера лякаючі зображення та примусово викликає «синій екран смерті» Windows — стан, який у штатному режимі з'являється у разі фатального збою операційної системи. Таким чином, зловмисники використовують не лише технічний, а й емоційний канал впливу, експлуатуючи тривожний стан жертви паралельно з викраденням конфіденційної інформації.

Психологічний вплив як вбудована функція

Засоби психологічного впливу розробники KGB RAT в описі продукту характеризують як «кумедні налаштування», проте саме вони роблять шкідливе ПЗ помітним у своєму роді. Окрім різких появ лякаючих візуальних ефектів та зображень, троян здатен примусово ініціювати «синій екран смерті», імітуючи критичний збой системи. За оцінкою експертів, це свідчить про те, що оператори програми цілеспрямовано застосовують страх і дезорієнтацію жертви як додатковий механізм контролю, що доповнює традиційну крадіжку даних та перехоплення керування пристроєм.

Модель поширення та структура тарифів

KGB RAT поширюється за моделлю «шкідливе ПЗ як сервіс» (MaaS): зловмисники купують доступ до конструктора за підпискою, вартість якої варіюється від 150 доларів на місяць до 800 доларів на рік. Найдоступніший тариф включає віддалений доступ до робочого столу, керування файлами, доступ до веб-камери та мікрофона, перехоплення натискань клавіш, відновлення паролів, закріплення в системі та механізми обходу засобів захисту. Окремо наголошується, що троян відстежує вміст буфера обміну і під час вставки даних здатен підміняти адреси криптографічних гаманців користувача на підконтрольні зловмисникам. Дорожчі пакети додають керування кількома клієнтами, налаштування корисного навантаження, додаткові механізми приховування, підтримку плагінів та доступ до серверної інфраструктури, а за 500 доларів пропонується окремий модуль для поширення мережею.

Механізми обходу захисту та сповіщення операторів

Шкідливе ПЗ спроектоване з розрахунком на уникнення виявлення: у ньому застосовуються методи обфускації, криптор, що оновлюється щодня, для приховування коду, механізми виявлення пісочниць — середовищ для аналізу загроз, а також засоби вимкнення або обходу захисних систем. Операторів про зараження нового комп'ютера повідомляє бот у Telegram, а для визначення місця розташування жертви використовується легітимний сервіс. За даними Group-IB, конструктор шкідливого ПЗ використовують кілька різних операторів, причому щонайменше один із них спеціалізується на крадіжці криптовалюти.

Маркетингова «легалізація» та хронологія

Примітною рисою KGB RAT є спроба представити його як легальний інструмент: на сайті продукту розміщені ймовірно вигадані відгуки клієнтів, стверджується, що програмою користуються понад 10 000 IT-фахівців, а також представлені навчальні матеріали, відеоінструкції, сторінка з відмовою від відповідальності та заклик використовувати програму лише в законних цілях. Шкідливе ПЗ продається на форумах із кінця 2025 року, проте сліди його інфраструктури належать до початку 2022 року, що вказує на ймовірний перехід із приватного використання в доступ для широкого кола зловмисників.