KGB RAT : l'espionnage par webcam vendu dès 150 $ par mois

Un cheval de Troie d'accès à distance pour Windows baptisé KGB RAT est vendu sur abonnement sur des forums de hackers. Les acheteurs accèdent à la webcam, au micro, aux frappes clavier et aux mots de passe enregistrés de la victime. L'offre comprend aussi une série de fonctions destinées à effrayer l'utilisateur de l'ordinateur infecté.

Alpomish Asadov et Razvan Raducu, analystes en logiciels malveillants chez Group-IB, ont examiné l'outil. Selon eux, il repose sur NjRAT, un cheval de Troie d'accès à distance bien connu, utilisé par des attaquants de tous niveaux.

Des années de développement

KGB RAT est apparu pour la première fois dans des rapports de sécurité publics en septembre 2025, lorsqu'une alerte de fuite de données l'a signalé comme une menace nouvellement observée. Il a davantage attiré l'attention fin 2025, quand des annonces ont commencé à le promouvoir sur des forums de hackers.

Les chercheurs ont également retrouvé une publication datant de fin janvier 2022 qui mentionne un serveur KGB RAT en version 0.1. Ils y voient la preuve que le développeur a passé des années à concevoir et tester l'outil avant de le commercialiser.

Le site du vendeur présente KGB RAT comme un logiciel d'administration Windows. "Le site présente KGB RAT comme un outil avancé d'administration Windows, en mettant en avant un contrôle total de Windows, un chiffrement de niveau militaire, une technologie 100 % indétectable (FUD), une surveillance avancée, des alertes Telegram et des mises à jour quotidiennes. Derrière ce vernis marketing, toutefois, la liste des fonctionnalités annoncées s'apparente à une panoplie de surveillance et de contrôle assez complète", explique Group-IB.

Le site affiche de faux avis clients et affirme que plus de 10 000 professionnels de l'informatique utilisent le logiciel. Il propose aussi des tutoriels vidéo pour l'installation, la configuration et l'utilisation. "Il y a même toute une section juridique avec des clauses de non-responsabilité", relève Group-IB. Le texte de cette section invite les acheteurs à utiliser le logiciel dans le respect de la loi.

Les annonces sur les forums étaient beaucoup moins prudentes. L'une d'elles promettait aux acheteurs que "vous pouvez pirater facilement le Windows de n'importe qui avec ce RAT". Les annonces mettaient en avant deux arguments principaux. D'abord, le cheval de Troie serait capable de contourner et de désactiver définitivement Windows Defender et d'autres antivirus. Ensuite, il fonctionne sans redirection de ports, ce qui le rend accessible à des attaquants inexpérimentés.

Formules d'abonnement et options

Les prix vont de 150 $ pour un mois à 800 $ pour un an, avec des réductions au renouvellement. La formule d'entrée de gamme comprend l'accès au bureau à distance, la gestion des fichiers, l'accès à la caméra et au micro, l'enregistrement des frappes, le vol de mots de passe, la persistance et des fonctions anti-détection.

Les formules plus chères permettent de gérer plusieurs machines infectées à la fois. Elles ajoutent aussi la personnalisation de la charge utile, davantage d'options d'évasion, la prise en charge de plugins et l'accès à plus de serveurs.

Une option distincte, "Network Spreading", coûte 500 $ et, selon les vendeurs, automatise la propagation du logiciel malveillant au sein d'un réseau compromis. KGB RAT est également livré avec un rançongiciel. D'après Group-IB, un attaquant peut ainsi passer de l'accès initial à l'extorsion sans installer aucun autre outil.

"Les tarifs donnent une idée du faible niveau d'entrée requis", soulignent les chercheurs.

Ce que collecte le cheval de Troie

Parmi les fonctions annoncées figurent une session de bureau à distance cachée, invisible pour la victime, ainsi que le contrôle de l'écran, de la souris et du clavier. Lors des tests de Group-IB, le cheval de Troie a enregistré les frappes clavier et accédé au Gestionnaire d'identification de Windows, où le système stocke les identifiants des sites web, des ressources réseau et des applications. L'enregistrement des frappes était activé dans tous les échantillons analysés par l'équipe.

Lors de son premier contact avec son serveur de commande, le logiciel malveillant transmet le nom de l'ordinateur, le nom d'utilisateur, la date, la version de Windows, les droits administrateur éventuels de l'utilisateur et l'antivirus installé. Il interroge ensuite un service de géolocalisation IP pour obtenir l'adresse IP publique de la victime, son pays, sa région, sa ville, son fournisseur d'accès et ses coordonnées approximatives. Il peut envoyer ces données à un bot Telegram, ce qui permet à l'opérateur d'être averti dès qu'une nouvelle victime se connecte.

Un module CryptoClipper surveille le presse-papiers à la recherche d'adresses de portefeuilles de cryptomonnaies et les remplace par des adresses contrôlées par l'attaquant. "Un seul échantillon a le module CryptoClipper activé, avec trois adresses de portefeuilles codées en dur pour le BTC, l'ETH et le TRC-20 (Tron). C'est donc l'échantillon le plus motivé par l'appât du gain de l'ensemble, et il vise probablement un profil de victime différent", précise Group-IB.

Hurlements et plantages forcés

Un menu intitulé "Extra" contient ce que les développeurs appellent des "paramètres amusants". Ils permettent à l'opérateur de diffuser des hurlements, d'afficher des images effrayantes surgissant à l'écran et de faire planter l'ordinateur.

"Les fonctions de harcèlement et de détresse psychologique - les fonctions de cri, les écrans bleus forcés et ce que les développeurs appellent les 'paramètres amusants' - sont plus rares dans les RAT de ce niveau de capacité", indique Group-IB. Pour les chercheurs, cela révèle une clientèle mêlant des criminels motivés par le profit et des acteurs moins aguerris qui cherchent à perturber ou intimider leurs victimes.

Se cacher au grand jour

Lors des tests, le cheval de Troie s'est copié dans le dossier temporaire sous le nom de svchost.exe, celui d'un processus Windows standard. Il a créé une tâche planifiée nommée ChromeUpdate qui le lance à chaque connexion avec les privilèges les plus élevés disponibles. Il a aussi modifié les paramètres de Windows pour masquer les fichiers système protégés et ignorer les contrôles de sécurité au lancement des programmes. Lors de sa première exécution, il peut afficher un faux message d'erreur signalant des fichiers manquants ou corrompus.

Le logiciel malveillant tente également d'échapper à l'analyse. Un échantillon s'arrêtait si le modèle de la carte mère correspondait à des noms comme "Sandbox", "Test" ou "Virtual Machine". Un autre recherchait des outils tels que Wireshark, Process Explorer et dnSpy. Une partie du code se mettait aussi en pause pendant 600 secondes, soit plus que les 60 à 300 secondes pendant lesquelles tournent habituellement la plupart des systèmes d'analyse automatisés.

Notre analyse

KGB RAT n'a rien de nouveau sur le plan technique. Il s'appuie sur NjRAT, et ses techniques de persistance et d'évasion sont connues. Ce qui frappe, c'est l'emballage. Formules d'abonnement, tutoriels, page de mentions légales et options payantes lui donnent l'allure d'un produit commercial, ce qui abaisse le niveau de compétence nécessaire pour mener une intrusion complète aboutissant à un rançongiciel.

Cela s'inscrit dans une tendance plus large de logiciels criminels clés en main destinés à des acheteurs peu expérimentés, des logiciels de vol de mots de passe aux outils qui vident les portefeuilles de cryptomonnaies. Pour les défenseurs, des tâches planifiées se faisant passer pour des mises à jour de Chrome et un svchost.exe s'exécutant depuis un dossier temporaire sont des signaux clairs à surveiller. Reste à voir si l'option "Network Spreading" apparaîtra dans de véritables intrusions, et si les fonctions "amusantes" attireront une nouvelle catégorie d'opérateurs motivés par le harcèlement plutôt que par le profit.