KGB RAT распространяют по модели вредоносного ПО как услуги
Троян KGB RAT для Windows распространяется по модели «вредоносное ПО как услуга» и продвигается как минимум с конца 2025 года. Связанная с ним инфраструктура датируется январём 2022 года. По всей видимости, код и функциональность трояна во многом совпадают с обфусцированными вариантами NjRAT/Lime-Worm. Один конструктор, по-видимому, используют несколько операторов, а различия в его конфигурации указывают на отдельные кампании.
Возможности трояна и его распространение
Конструктор формирует полезную нагрузку в нескольких форматах: EXE, BAT, HTA и REG. В него также входят возможности упаковки или использования криптеров, предназначенные для обхода обнаружения антивирусами. Троян обеспечивает удалённый доступ к рабочему столу и скрытый доступ через VNC, захватывает данные с веб-камеры и микрофона, манипулирует файлами, регистрирует нажатия клавиш, крадёт учётные данные, управляет процессами и службами, изменяет реестр, закрепляется в системе и повышает привилегии. Кроме того, он может внедрять код в процессы.
KGB RAT способен развертывать программы-вымогатели, отслеживать буфер обмена для подмены адресов криптокошельков, распространяться в локальных сетях и выполнять деструктивные действия, направленные на запугивание пользователя. Среди них имитация ошибок, пугающие всплывающие окна, принудительные сбои и синие экраны смерти. Некоторые образцы умеют завершать работу конкурирующих вредоносных программ и удалять их механизмы закрепления.
Закрепление и сбор данных
Наблюдаемые образцы копируют себя во временное расположение в AppData под именем svchost.exe, создают приостановленный дочерний процесс и закрепляются с помощью запланированной задачи ChromeUpdate. Она запускается при входе пользователя в систему с наивысшим доступным уровнем привилегий. Образцы также используют ключ реестра Run, скрывают защищённые файлы, задавая значение ShowSuperHidden равным нулю, и устанавливают SEE_MASK_NOZONECHECKS, чтобы подавлять предупреждения о зонах безопасности.
Для выполнения действий троян использует легитимные системные утилиты cmd.exe, PowerShell, reg.exe и schtasks.exe. Он может пытаться обходить UAC без файлов, перехватывая настройки реестра ms-settings и выполняя команды через fodhelper или ComputerDefaults.
На этапе разведки троян отправляет запросы WMI, чтобы получить сведения об установленных средствах защиты, операционной системе, аппаратных идентификаторах, запущенных процессах и индикаторах песочницы. Для выявления виртуализированных или автоматизированных сред анализа он проверяет сетевые интерфейсы, принтеры, историю USB-подключений, идентификаторы материнских плат, активность мыши и задержки выполнения.
Поведение образцов во время выполнения подтвердило регистрацию нажатий клавиш с помощью опроса через GetAsyncKeyState, сбор учётных записей из файлов хранилища Диспетчера учётных данных Windows и передачу данных на инфраструктуру управления.
Инфраструктура управления и обнаружение
Основным наблюдаемым адресом C2 был 104.248.130.195. Другой образец использовал 2.59.134.215:443. Данные об IP-адресе жертвы и её геолокации троян получает с ip-api.com, а затем передаёт через Telegram Bot API, который служит каналом уведомлений и эксфильтрации. Образцы также поддерживают необязательное обновление адресов C2 через Pastebin.
При обнаружении следует сосредоточиться на подозрительном выполнении из AppData, маскированных запланированных задачах, изменениях реестра, разведке с использованием WMI, поведении, связанном с внедрением кода, а также исходящих соединениях с Telegram, ip-api.com и выявленной инфраструктурой C2.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
