Un trojan per Windows capace di sottrarre credenziali, spiare gli utenti e persino terrorizzarli con falsi errori di sistema e suoni improvvisi. È KGB RAT, un Remote Access Trojan (RAT) analizzato dai ricercatori di Group-IB, che combina funzionalità di sorveglianza, furto di dati e controllo remoto in un unico strumento.
Il malware viene commercializzato nei forum clandestini secondo il modello Malware-as-a-Service (MaaS), che permette ai criminali di acquistare strumenti già pronti all’uso. Le tracce della sua infrastruttura risalgono a gennaio 2022, mentre la promozione nei forum underground è stata osservata dalla fine del 2025. L’analisi tecnica ha inoltre evidenziato che KGB RAT è basato su NjRAT, una famiglia di trojan di accesso remoto già nota.
Furto di credenziali e controllo remoto
Tra le funzionalità individuate figurano la registrazione dei tasti premuti (keylogging), il furto di password e l’accesso remoto al desktop, anche attraverso sessioni nascoste all’utente. Il malware può inoltre gestire file, acquisire immagini dalla webcam e registrare l’audio tramite il microfono.
I ricercatori hanno osservato che KGB RAT può raccogliere informazioni sul sistema compromesso, tra cui nome del computer, account utente, versione di Windows e soluzione antivirus installata. Il trojan può anche recuperare le credenziali archiviate in Windows Credential Manager, utilizzare meccanismi di persistenza per essere eseguito nuovamente dopo l’accesso dell’utente e inviare notifiche agli attaccanti attraverso un bot Telegram quando una nuova vittima si connette. Per ricavare informazioni sulla posizione approssimativa del dispositivo, interroga inoltre un servizio di geolocalizzazione basato sull’indirizzo IP.
Un’altra funzionalità, presente in uno dei campioni analizzati, è il CryptoClipper: il malware monitora gli indirizzi di portafogli di criptovalute copiati negli appunti e li sostituisce con quelli controllati dagli attaccanti, dirottando potenzialmente le transazioni.
Falsi errori di sistema e tecniche anti-rilevamento
L’elemento più insolito è la presenza di funzioni che gli sviluppatori definiscono fun settings. Queste comprendono suoni improvvisi, effetti visivi progettati per spaventare l’utente e schermate blu della morte (BSOD) simulate o forzate. Si tratta di strumenti di intimidazione psicologica che si aggiungono alle tradizionali capacità di spionaggio e compromissione.
KGB RAT integra anche un crypter pubblicizzato come Fully UnDetectable (FUD), progettato per ostacolare il rilevamento da parte degli antivirus e aggiornato frequentemente secondo i suoi sviluppatori. L’analisi di Group-IB ha inoltre rilevato tecniche di offuscamento, controlli per individuare ambienti di analisi e strumenti utilizzati dai ricercatori di sicurezza, oltre a meccanismi che mascherano il malware attraverso nomi simili a quelli di componenti legittimi di Windows.
Il trojan viene proposto a partire da 150 dollari per un mese, con piani annuali fino a 800 dollari e un componente aggiuntivo da 500 dollari pubblicizzato per favorire la propagazione all’interno delle reti compromesse. La combinazione di funzionalità avanzate, aggiornamenti e disponibilità commerciale riduce le competenze necessarie per condurre operazioni malevole. Secondo Group-IB, KGB RAT dimostra come strumenti già consolidati possano essere riconfezionati e distribuiti a una platea più ampia di criminali informatici.
https://www.group-ib.com/blog/kgb-rat-windows-fud-trojan/
