1. KGB RAT is een Remote Access Trojan (RAT) voor Windows, die aanvallers in staat stelt om geïnfecteerde computers te bespioneren, inloggegevens te verzamelen en de desktop van een slachtoffer op afstand te bedienen. De malware is gebaseerd op een geobfusceerde versie van NjRAT, een bekende RAT.
2. De malware wordt aangeboden als een service (Malware-as-a-Service), waarbij kopers toegang kunnen huren in plaats van de tool zelf te ontwikkelen. De verkopers adverteren met een "volledig ondetecteerbare" crypter die naar verluidt Windows Defender en andere antivirusproducten kan omzeilen. Dagelijkse crypter-updates en een payload builder voor bestanden zoals EXE, BAT, HTA en REG worden ook aangeboden. Het product wordt gepresenteerd als een legitiem hulpmiddel voor extern beheer.
3. KGB RAT werd vanaf eind 2025 gepromoot op underground forums, hoewel sporen van een vroege versie van de serverinfrastructuur teruggaan tot januari 2022.
4. Analisten en onderzoekers van Group-IB hebben KGB RAT geïdentificeerd en geanalyseerd. Ze vonden een tool die functionaliteiten combineert voor het stelen van inloggegevens, keylogging, externe controle en ransomware.
5. Bij het geanalyseerde sample kopieerde de malware zichzelf naar een tijdelijke map en startte vervolgens opnieuw op als svchost.exe. Er werd een geplande taak genaamd ChromeUpdate aangemaakt om de malware opnieuw uit te voeren bij het inloggen van een gebruiker. De malware wijzigde ook Windows-instellingen voor de weergave van verborgen systeembestanden en beveiligingswaarschuwingen.
6. Voordat de malware zijn functies uitvoert, controleert het de computer door Windows Management Instrumentation (WMI) te bevragen voor informatie over het besturingssysteem, actieve processen en geïnstalleerde beveiligingsproducten. Het controleert ook op tekenen van virtuele machines en analysehulpmiddelen om detectie te voorkomen.
7. KGB RAT biedt diverse functies voor kwaadaardige doeleinden. Het omvat een keylogger, functionaliteiten voor het maken van screenshots, het monitoren van de klembordinhoud en externe desktopcontrole. Een verborgen VNC-functie stelt een operator in staat om een externe weergave- of controlesessie te starten die mogelijk niet zichtbaar is op de desktop van het slachtoffer. Voor het stelen van inloggegevens kreeg het geanalyseerde sample toegang tot bestanden van Windows Credential Manager. Een Crypto Clipper-functie kan kopieerbare cryptocurrency-adressen vervangen door een adres dat door de aanvaller wordt beheerd.
8. De operators van KGB RAT gebruiken een apart Telegram-kanaal om infectiemeldingen te ontvangen. De malware maakt verbinding met command-and-control (C2) servers voor instructies. Group-IB observeerde dat de malware het openbare IP-adres van een slachtoffer opzocht via ip-api.com en een infectiemelding verstuurde via Telegram's Bot API. Een gerelateerde NjRAT-campagne maakte gebruik van Microsoft Dev Tunnels om netwerkverkeer te verbergen.
9. Group-IB's Malware Detonation Platform detecteerde samples door hun gedrag te observeren, zelfs na obfuscation of unpacking. Waarschuwingssignalen bij het geanalyseerde sample waren onder meer een programma dat vanuit een tijdelijke map draaide, een onbekende ChromeUpdate-taak, registerwijzigingen, verdachte kindprocessen en verbindingen met Telegram of de vermelde C2-servers.
10. Organisaties wordt aangeraden om endpointbescherming actief en up-to-date te houden, ongeautoriseerde software te beperken en te alarmeren op geplande taken die zijn gemaakt door programma's die vanuit door gebruikers schrijfmbare mappen draaien. Beveiligingsteams wordt geadviseerd om ongebruikelijke procesketens en uitgaande verbindingen te beoordelen, vooral wanneer Telegram of de vermelde locatie-gebaseerde service wordt benaderd door een niet-browserproces.
11. Bij vermoeden van infectie wordt aangeraden het apparaat te isoleren, logs te bewaren en onderzoek uit te voeren vanaf een schoon systeem voordat blootgestelde inloggegevens en sessies opnieuw worden ingesteld.