KGB RAT: il trojan Windows che spia la webcam e ruba password

Il malware KGB RAT rappresenta una minaccia per la sicurezza informatica degli utenti Windows. Questo trojan consente ai criminali informatici di controllare da remoto i computer infetti, spiare attraverso webcam e microfono, registrare i tasti digitati e sottrarre password e altre informazioni riservate. Secondo un’analisi condotta dai ricercatori di Group-IB, il programma include anche funzionalità per dirottare pagamenti in criptovalute e intimidire le vittime.

Il software viene pubblicizzato nei forum clandestini come uno strumento di amministrazione remota, ma le sue caratteristiche lo rendono una piattaforma utilizzabile per attività di sorveglianza, furto di dati ed estorsione. La minaccia è particolarmente significativa perché offre funzionalità avanzate anche a persone con competenze tecniche limitate.

Che cos’è KGB RAT e come funziona

KGB RAT è un trojan di accesso remoto per Windows, noto anche come Remote Access Trojan (RAT). Il malware deriva da NjRAT, una famiglia di programmi malevoli già conosciuta nel panorama della criminalità informatica.

Una volta eseguito sul computer della vittima, può consentire all’operatore di controllare diverse funzioni del sistema senza che l’utente ne sia consapevole. Tra le capacità individuate durante le analisi figurano l’accesso remoto al desktop, la gestione dei file, il monitoraggio della tastiera e il controllo di webcam e microfono.

I suoi sviluppatori promuovono il prodotto come un software avanzato per la gestione dei sistemi Windows. Tuttavia, le funzionalità pubblicizzate e quelle osservate dai ricercatori mostrano un insieme di strumenti adatti alla sorveglianza illegittima e al furto di informazioni.

Il sito utilizzato per commercializzare KGB RAT presenta inoltre recensioni apparentemente false, tutorial e dichiarazioni promozionali sull’affidabilità del programma. Questi elementi contribuiscono a conferirgli un’apparenza legittima, nonostante i rischi legati al suo utilizzo.

Furto di password, registrazione dei tasti e controllo remoto

Uno degli aspetti più pericolosi di KGB RAT riguarda la possibilità di raccogliere credenziali e informazioni personali. Nei campioni esaminati da Group-IB, i ricercatori hanno riscontrato funzionalità di keylogging, cioè la registrazione dei tasti premuti dall’utente.

Il malware è stato inoltre osservato mentre accedeva a Windows Credential Manager, il componente di Windows che gestisce credenziali utilizzate per applicazioni, risorse di rete e altri servizi. I suoi sviluppatori pubblicizzano anche la capacità di sottrarre password salvate nei browser e in altri programmi.

Queste funzionalità possono esporre informazioni sensibili, tra cui dati di accesso agli account personali e professionali. Se un dispositivo viene compromesso, le conseguenze possono quindi estendersi oltre il singolo computer, soprattutto quando le credenziali rubate consentono di accedere ad altri servizi.

KGB RAT può anche avviare una sessione desktop nascosta, permettendo all’operatore di visualizzare e controllare il sistema senza mostrare necessariamente le proprie attività all’utente.

Webcam, microfono e raccolta di informazioni personali

Il trojan integra funzionalità di sorveglianza che possono compromettere seriamente la privacy. In base alle caratteristiche pubblicizzate, gli operatori possono accedere alla webcam e al microfono del dispositivo infetto, oltre a controllare lo schermo e le periferiche di input.

Al primo collegamento con il server di comando e controllo, KGB RAT raccoglie diverse informazioni sul computer. Tra queste figurano il nome del dispositivo, il nome utente, la versione di Windows, la presenza di privilegi amministrativi e il prodotto antivirus installato.

Il malware può inoltre interrogare un servizio di geolocalizzazione basato sull’indirizzo IP pubblico per ottenere informazioni come Paese, regione, città, provider Internet e posizione approssimativa della vittima. Alcuni dati possono essere trasmessi attraverso un bot Telegram, consentendo agli operatori di ricevere notifiche quando un nuovo dispositivo si collega.

La combinazione di controllo remoto, sorveglianza e raccolta di informazioni rende KGB RAT particolarmente invasivo. Un’infezione può infatti mettere a rischio sia la riservatezza dei dati sia la sicurezza degli account utilizzati quotidianamente.

Rischi per i pagamenti in criptovalute

Tra le funzionalità individuate figura anche un modulo denominato CryptoClipper, progettato per manipolare gli indirizzi dei portafogli di criptovalute copiati negli appunti.

Il meccanismo consiste nel monitorare gli indirizzi copiati dall’utente e sostituirli con indirizzi controllati dall’aggressore. Se la vittima incolla l’indirizzo modificato durante un trasferimento, può inviare involontariamente i propri fondi al destinatario sbagliato.

Group-IB ha rilevato questo modulo soltanto in uno dei campioni analizzati. In quel caso erano presenti indirizzi preimpostati associati a Bitcoin, Ethereum e alla rete Tron tramite lo standard TRC-20. La presenza della funzionalità dimostra come il malware possa essere utilizzato anche per frodi finanziarie mirate.

Prima di confermare una transazione in criptovaluta è quindi importante verificare attentamente l’indirizzo del destinatario, soprattutto quando viene copiato e incollato dagli appunti.

Le funzioni intimidatorie nascoste nel menu Extra

Una caratteristica insolita di KGB RAT è la presenza di un menu chiamato Extra, che comprende funzioni descritte dagli sviluppatori come strumenti di intrattenimento.

In realtà, queste opzioni permettono all’operatore di riprodurre urla, mostrare schermate improvvise progettate per spaventare l’utente e provocare il blocco del computer. Si tratta di funzionalità che possono essere sfruttate per intimidire le vittime e causare disagio psicologico.

Secondo i ricercatori, la presenza di questi strumenti suggerisce che il malware possa attirare non soltanto criminali interessati al guadagno economico, ma anche soggetti motivati dal desiderio di disturbare o spaventare altre persone.

Come KGB RAT cerca di nascondersi su Windows

Per rendere più difficile l’individuazione, KGB RAT utilizza diverse tecniche di occultamento e persistenza. Durante i test, i ricercatori hanno osservato che il malware copiava se stesso nella cartella temporanea di Windows con il nome svchost.exe, simile a quello di un processo legittimo del sistema operativo.

Il programma creava inoltre un’attività pianificata denominata ChromeUpdate, progettata per avviarlo automaticamente a ogni accesso dell’utente, con i privilegi più elevati disponibili. Questa tecnica permette al malware di continuare a essere eseguito anche dopo il riavvio del computer.

Tra gli altri comportamenti rilevati figurano modifiche alle impostazioni di Windows per nascondere alcuni file di sistema e aggirare determinati controlli di sicurezza. Al primo avvio, il trojan può anche mostrare un falso messaggio di errore relativo a file mancanti o danneggiati, inducendo la vittima a credere che si sia verificato un problema tecnico.

Alcuni campioni cercano inoltre di riconoscere gli ambienti utilizzati per l’analisi dei malware. Possono interrompere l’esecuzione in presenza di determinati nomi associati a macchine virtuali o strumenti di analisi, come Wireshark, Process Explorer e dnSpy.

I ricercatori hanno anche osservato una pausa di 600 secondi durante l’esecuzione di una parte del codice. Questo ritardo può ostacolare alcuni sistemi automatici di analisi che operano per intervalli di tempo più brevi.

KGB RAT viene venduto nei forum clandestini

Il malware viene commercializzato attraverso abbonamenti e servizi aggiuntivi. Secondo le informazioni riportate da Group-IB, i prezzi pubblicizzati partono da 150 dollari per un mese e arrivano a 800 dollari per un anno, con condizioni più convenienti per alcuni rinnovi.

Il pacchetto di base comprende funzionalità di controllo remoto, gestione dei file, accesso a webcam e microfono, registrazione dei tasti e strumenti per mantenere la presenza sul dispositivo compromesso. I piani più costosi aggiungono opzioni per gestire più computer, personalizzare i payload e utilizzare ulteriori funzionalità di elusione.

Viene inoltre proposto un componente aggiuntivo da 500 dollari, denominato Network Spreading, che secondo i venditori automatizza la diffusione del malware all’interno di una rete compromessa. KGB RAT include anche funzionalità ransomware, che possono essere utilizzate per rendere inaccessibili i dati e tentare di estorcere denaro alle vittime.

La commercializzazione di strumenti già pronti riduce le competenze necessarie per condurre attacchi informatici. Tuttavia, le dichiarazioni dei venditori sulle capacità di eludere gli antivirus devono essere distinte dai risultati effettivamente verificati durante le analisi.

Come proteggersi dal trojan KGB RAT

Per ridurre il rischio di infezione da KGB RAT e da altri trojan di accesso remoto, è importante adottare alcune misure di sicurezza informatica.

• Scaricare programmi soltanto da fonti affidabili: evitare eseguibili provenienti da siti sconosciuti, forum non verificati e allegati inattesi.
• Mantenere Windows aggiornato: installare gli aggiornamenti di sicurezza disponibili per il sistema operativo e le applicazioni.
• Utilizzare un antivirus aggiornato: mantenere attiva la protezione in tempo reale e non disabilitare le difese di Windows su richiesta di programmi sconosciuti.
• Prestare attenzione ai messaggi sospetti: non aprire allegati o collegamenti inattesi, anche quando sembrano provenire da contatti conosciuti.
• Attivare l’autenticazione a più fattori: aggiungere un ulteriore livello di protezione agli account importanti, dove disponibile.
• Controllare le attività insolite: prestare attenzione a processi sconosciuti, programmi avviati automaticamente e comportamenti anomali del computer.
• Proteggere le transazioni finanziarie: verificare gli indirizzi dei portafogli prima di confermare pagamenti o trasferimenti di criptovalute.

Se si sospetta un’infezione, è opportuno scollegare il dispositivo dalla rete per limitare eventuali comunicazioni con l’aggressore e utilizzare un altro dispositivo affidabile per proteggere gli account più importanti. In ambito aziendale, è consigliabile coinvolgere il personale responsabile della sicurezza informatica prima di procedere con la rimozione del malware.

Se sono state esposte credenziali, modificare le password da un dispositivo sicuro, revocare le sessioni attive quando possibile e verificare eventuali accessi non autorizzati. Nei casi più complessi, una verifica tecnica professionale può aiutare a individuare la compromissione e ripristinare il sistema in modo appropriato.

KGB RAT conferma i rischi dei malware di accesso remoto

L’analisi di Group-IB mostra come KGB RAT riunisca in un unico strumento funzionalità di sorveglianza, furto di credenziali, controllo remoto e frode finanziaria. Le tecniche utilizzate per nascondersi e avviarsi automaticamente possono rendere più difficile individuare un’infezione senza controlli adeguati.

La principale criticità è la facilità con cui strumenti di questo tipo vengono distribuiti e messi a disposizione di soggetti con competenze differenti. Per gli utenti privati e le aziende, mantenere aggiornati i sistemi, adottare comportamenti prudenti e monitorare le attività sospette resta fondamentale per ridurre il rischio di compromissione.