Новый вирус «КГБ» пугает пользователей Windows скримерами и фейковыми «экранами смерти», орёт в колонки, крадёт крипту и пароли

Исследователи Group-IB разобрали троян удалённого доступа KGB RAT, который продаётся по подписке, следит за пользователями Windows, крадёт пароли, подменяет криптоадреса в буфере обмена и целиком забирает контроль над заражённым ПК. Отдельная фишка трояна в том, что он умеет внезапно показывать пугающие изображения, орать в колонки и вызывать синий экран смерти по команде оператора. Разработчики называют это «развлекательными настройками», хотя смешно только им.

Вредонос распространяется по модели Malware-as-a-Service, то есть перед нами SaaS в самом тёмном исполнении. Объявления о продаже KGB RAT появились на подпольных форумах в конце 2025 года, а следы связанной инфраструктуры исследователи нашли в январе 2022 года. Скорее всего, авторы какое-то время гоняли инструмент сами, а потом решили монетизировать продукт и открыть подписку для коллег по цеху. Цены стартуют со 150 долларов в месяц, годовой доступ стоит 800 долларов.

В базовую подписку уже входят функции, которые превращают чужой комп в личный терминал оператора:

• подключение к удалённому рабочему столу;
• управление файлами;
• доступ к веб-камере и микрофону;
• запись нажатий клавиш;
• извлечение сохранённых паролей.

KGB RAT умеет закрепляться в системе и переживает перезагрузку, а ещё применяет механизмы обхода защитных средств, поэтому рестарт проблему не лечит. Для атакующего это минимум телодвижений и максимум контроля над чужим железом.

Тарифы подороже расширяют арсенал для тех, кто решил превратить мелкий взлом в бизнес:

• управление несколькими клиентами;
• настройка вредоносных компонентов;
• инструменты маскировки;
• поддержка плагинов;
• расширенная серверная инфраструктура.

Отдельным апгрейдом за 500 долларов продаётся модуль распространения по сети, который автоматически заражает другие устройства внутри уже скомпрометированной сети. Взлом одного ноутбука превращается в операцию побольше, а для офиса с парком Windows-машин это сулит мало хорошего.

Авторы KGB RAT назвали функции запугивания «развлекательными настройками», хотя заражение с ними превращается в хоррор-квест с непредсказуемой концовкой.

Синий экран сам по себе не означает встречу с KGB RAT, в нормальной жизни BSOD рождается из кривых драйверов и умирающего железа. Но подделка способна убедить человека, что система сломалась, и отвлечь от происходящего под капотом. Исследователи Group-IB рассматривают подобные функции как инструмент давления на жертву, который работает в комплекте с кражей данных и скрытым удалённым управлением.

KGB RAT следит за содержимым буфера обмена. Стоит скопировать адрес криптокошелька, и троян подменяет его адресом злоумышленника. Пользователь жмёт Ctrl+V, отправляет деньги не тому получателю, а на экране всё смотрится обычно. Классика жанра, которая годами работает и не требует от злоумышленника ни капли таланта. Для России сюжет очень живой, потому что переводы USDT и P2P-обмены у многих давно стали рутиной, а длинные адреса из случайных символов глазами сверяют единицы.

У вредоноса нашли набор вполне приземлённых решений:

• бот в Telegram, который присылает операторам уведомления о новых заражениях;
• обращения к сервису ip-api.com для определения примерного местоположения компьютера;
• один и тот же конструктор, которым пользовались несколько операторов;
• как минимум один участник, специализировавшийся на краже криптовалюты.

Авторы старались придать KGB RAT вид нормального коммерческого продукта. На сайте висели фейковые отзывы, заявления о более чем 10 тысячах IT-специалистов среди пользователей, обучающие материалы и видеоинструкции по установке и настройке. Не забыли и юридические оговорки с призывом применять программу только законно, что звучит примерно как «не используйте нож для плохого» на упаковке мачете. Журналисты TechRadar при попытке открыть сайт получили ошибку 502 Bad Gateway, но это не означает закрытие ресурса, причиной мог стать временный сбой или проблемы с хостингом.

Российским юзерам стоит держать в голове, что «активаторы», кряки и сборки с торрентов остаются одним из самых популярных путей доставки подобной малвари. Загрузил «бесплатный» софт, и вместо экономии получил оператора в своей веб-камере.

Базовая гигиена против KGB RAT и его родственников сводится к простым вещам:

• не запускать неизвестные программы из сомнительных источников;
• не верить обещаниям полной невидимости для антивирусов;
• проверять неожиданные предупреждения о сбоях;
• сверять адрес получателя после вставки перед отправкой криптоперевода;
• воспринимать внезапные пугающие звуки и экраны как повод проверить систему, а не как безобидный розыгрыш.

Эксперты CISOCLUB отметили, что KGB RAT показывает, как далеко зашла коммерциализация киберпреступных инструментов. За месячную подписку покупатель получает готовый набор для слежки, кражи учётных данных и удалённого управления, и освоить его сможет даже новичок без глубоких технических знаний. Скримеры и поддельные синие экраны напоминают хэллоуинскую шутку, но за этой маской живёт полноценный троян, способный лишить человека аккаунтов и денег. Подмена адреса в буфере обмена остаётся рабочим трюком уже много лет, и от неё спасает привычка сверять первые и последние символы адреса перед отправкой.

Для компаний главный риск связан с модулем распространения по сети, потому что один заражённый ноутбук сотрудника способен стать плацдармом для атаки на всю инфраструктуру. Сегментация сети, EDR и контроль запуска программ перестают быть теорией, а внезапный синий экран без причины остаётся поводом для проверки, а не для шуток.

Ранее сообщалось, что Android-троян RemControl выдаёт себя за IPTV-сервис TVTap и с помощью рекламы перенаправляет пользователей на поддельные страницы Google Play. После установки APK-файла вредоносная программа получает доступ к экрану смартфона, отображает фишинговые окна поверх банковских приложений и похищает PIN-коды, данные банковских карт и учётные данные. Исследователи Group-IB отслеживают инфраструктуру этой платформы как минимум с мая 2026 года.