- KGB RAT 是一款提供远程访问、身份盗窃及加密劫持功能的恶意软件即服务（MaaS）平台
- 该恶意软件内置假蓝屏（BSOD）、惊吓特效及尖叫功能等异常的心理骚扰策略
- 研究人员发现尽管具备犯罪能力，已有多个运营商在使用该工具
网络犯罪分子正利用 KGB RAT 对 Windows 用户实施心理恐吓。其中，模拟臭名昭著的“蓝屏死机”（BSOD）是该恶意软件的主要手段之一。
安全研究团队 Group-IB 发布报告详细分析了这款新发现的远程访问木马（RAT）。虽然该恶意软件自 2025 年底起在地下论坛公开出售，但研究人员发现其基础设施证据可追溯至 2022 年 1 月，表明开发者在将其推向社区前可能进行了长时间的私人使用。
KGB RAT 的服务模式与功能
据 Group-IB 介绍，KGB RAT 采用订阅制模式，起步价为每月 150 美元，年度套餐价格为 800 美元。其中，月度套餐提供一个月的访问权限，而 800 美元的年度套餐则覆盖整整一年。
即便是最基础的套餐也包含了核心功能：远程桌面控制、文件管理、摄像头与麦克风访问、键盘记录、密码恢复、终端持久化以及多种反检测机制。此外，该恶意软件还能通过监控剪贴板中的加密货币钱包地址，在用户粘贴时将其替换为攻击者控制的地址，从而劫持交易。
更高阶的付费计划则增加了多客户端管理、有效负载定制、额外的规避技术、插件支持以及更广泛的服务器基础设施访问权限。开发者还单独提供一项价格为 500 美元的网络扩散附加组件。
独特的心理骚扰特性
使 KGB RAT 区别于其他恶意软件的并非其黑客功能，而是其心理骚扰手段。Group-IB 在报告中将其描述为包含“一组心理骚扰特征”，具体包括强制触发假蓝屏、播放跳跃恐惧画面以及发出尖叫声等功能。
研究人员指出，KGB RAT 的开发者将这些功能称为“有趣的设置”。然而，除了这些恶作剧性质的功能外，该工具的核心用途依然集中在加密货币盗窃、数据泄露、密钥记录及远程桌面访问上。
在逃避检测方面，该恶意软件采用了代码混淆、每日更新的加密算法、沙箱检测机制，以及禁用或绕过安全防护的功能。它通过 Telegram 机器人向攻击者发送新设备感染通知，并利用 ip-api.com 确定受损端点的地理位置。研究发现，有多个运营商使用相同的构建器部署该恶意软件，其中至少有一个专注于从受害者处窃取加密货币。
伪装合法工具的营销策略
KGB RAT 的一个显著特点是试图将自己包装成合法工具。其官方网站展示了虚假的客户评论，声称拥有超过 10,000 名 IT 专业人士用户。网站还设有教育板块和教程视频，甚至包含法律部分，指导用户如何安装、配置和使用该软件。
值得注意的是，当研究人员尝试访问该网站时，页面返回了“502 Bad Gateway”错误。这可能意味着服务器暂时故障或托管问题，但也存在未来重新上线的可能性。
