KGB RAT: Windows-trojan verkoopt webcamspionage vanaf $150

Een remote access trojan voor Windows met de naam KGB RAT wordt op hackersfora verkocht via een abonnement. Kopers krijgen toegang tot de webcam, de microfoon, de toetsaanslagen en de opgeslagen wachtwoorden van een slachtoffer. Het pakket bevat bovendien een menu met functies die bedoeld zijn om de gebruiker van de geïnfecteerde computer schrik aan te jagen.

Malware-analisten Alpomish Asadov en Razvan Raducu van Group-IB onderzochten de tool. Ze ontdekten dat die is gebaseerd op NjRAT, een bekende remote access trojan die wordt gebruikt door aanvallers van uiteenlopend niveau.

Jaren in de maak

KGB RAT dook voor het eerst op in openbare beveiligingsrapportages in september 2025, toen een melding over een datalek de tool noemde als nieuw waargenomen dreiging. Eind 2025 kreeg de trojan meer aandacht, toen er reclame voor werd gemaakt op hackersfora.

De onderzoekers vonden ook een openbare melding van eind januari 2022 waarin een KGB RAT-server met versie 0.1 wordt genoemd. Volgens hen laat dat zien dat de ontwikkelaar jarenlang aan de tool heeft gebouwd en getest voordat die in de verkoop ging.

De website van de verkoper presenteert KGB RAT als beheersoftware voor Windows. "De website prijst KGB RAT aan als geavanceerde beheertool voor Windows, met als belangrijkste claims volledige controle over Windows, encryptie van militair niveau, 100% Fully Undetectable (FUD)-technologie, geavanceerde monitoring, Telegram-meldingen en dagelijkse updates. Onder dat marketinglaagje leest de geadverteerde functielijst echter als een vrij complete toolkit voor surveillance en controle", aldus Group-IB.

Op de site staan nepbeoordelingen van klanten en de bewering dat meer dan 10.000 IT-professionals de software gebruiken. Er zijn ook instructievideo's voor installatie, configuratie en gebruik. "Er is zelfs een complete juridische sectie met disclaimers", merkte Group-IB op. De tekst in dat onderdeel draagt kopers op de software rechtmatig te gebruiken.

De advertenties op de fora waren een stuk minder voorzichtig. In een ervan werd kopers verteld dat "you can hack anyone Windows easily by using this RAT" ("je met deze RAT makkelijk iedereens Windows kunt hacken"). De advertenties zetten twee verkoopargumenten voorop. Het eerste is de bewering dat de trojan Windows Defender en andere antivirusproducten kan omzeilen en permanent uitschakelen. Het tweede is dat hij werkt zonder port forwarding, wat de drempel voor onervaren aanvallers verlaagt.

Abonnementen en uitbreidingen

De prijzen lopen uiteen van $150 voor één maand tot $800 voor een jaar, met korting bij verlenging. Het instapabonnement omvat toegang tot het externe bureaublad, bestandsbeheer, toegang tot camera en microfoon, keylogging, wachtwoorddiefstal, persistentie en functies om detectie te ontlopen.

Met de duurdere abonnementen kunnen operators meerdere geïnfecteerde machines tegelijk beheren. Ook komen er aanpasbare payloads, extra ontwijkingsopties, ondersteuning voor plug-ins en toegang tot meer servers bij.

Een losse uitbreiding genaamd "Network Spreading" kost $500. Volgens de verkopers automatiseert die de verspreiding van de malware binnen een gecompromitteerd netwerk. KGB RAT wordt ook geleverd met ransomware. Volgens Group-IB kan een aanvaller daardoor van de eerste toegang doorstoten naar afpersing zonder andere tools te hoeven installeren.

"De prijzen geven een idee van hoe laag de instapdrempel kan zijn", aldus de onderzoekers.

Wat de trojan verzamelt

Tot de geadverteerde functies horen een verborgen extern bureaubladsessie die het slachtoffer niet kan zien, plus controle over scherm, muis en toetsenbord. In de tests van Group-IB registreerde de trojan toetsaanslagen en kreeg hij toegang tot Windows Referentiebeheer, waar Windows inloggegevens voor websites, netwerkbronnen en applicaties bewaart. Keylogging stond aan in elk exemplaar dat het team bekeek.

Bij het eerste contact met de commandoserver meldt de malware de computernaam, gebruikersnaam, datum, Windows-versie, of de gebruiker beheerdersrechten heeft en welke antivirus er is geïnstalleerd. Daarna vraagt hij bij een IP-geolocatiedienst het publieke IP-adres, het land, de regio, de stad, de provider en de globale coördinaten van het slachtoffer op. Die gegevens kan hij naar een Telegram-bot sturen, zodat de operator een seintje krijgt zodra er een nieuw slachtoffer online komt.

Een CryptoClipper-module houdt het klembord in de gaten op adressen van cryptowallets en vervangt die door adressen van de aanvaller. "Slechts één exemplaar heeft de CryptoClipper-module ingeschakeld, met drie hardgecodeerde walletadressen voor BTC, ETH en TRC-20 (Tron). Daarmee is dit het meest financieel gemotiveerde exemplaar uit de set, dat waarschijnlijk op een ander type slachtoffer mikt", aldus Group-IB.

Schreeuwgeluiden en geforceerde crashes

Een menu met het label "Extra" bevat wat de ontwikkelaars "fun settings" noemen. Daarmee kan de operator schreeuwgeluiden afspelen, schrikbeelden tonen en de computer laten crashen.

"De functies voor intimidatie en psychologische ontreddering - screamers, geforceerde blue screens en wat de ontwikkelaars 'fun settings' noemen - komen minder vaak voor in RAT-tools van dit niveau", stelt Group-IB. Volgens de onderzoekers wijst dit op een klantenkring die bestaat uit een mix van criminelen die op winst uit zijn en minder bedreven actoren die slachtoffers willen ontregelen of intimideren.

Verstoppen in het zicht

Tijdens de tests kopieerde de trojan zichzelf naar de map voor tijdelijke bestanden als svchost.exe, de naam van een standaard Windows-proces. Hij maakte een geplande taak aan met de naam ChromeUpdate, die hem bij elke aanmelding met de hoogst beschikbare rechten start. Ook paste hij Windows-instellingen aan om beveiligde systeembestanden te verbergen en beveiligingscontroles bij het starten van programma's over te slaan. Bij de eerste keer opstarten kan hij een valse foutmelding tonen over ontbrekende of beschadigde bestanden.

De malware probeert ook analyse te ontlopen. Eén exemplaar stopte als het moederbordmodel overeenkwam met namen als "Sandbox", "Test" of "Virtual Machine". Een ander zocht naar tools als Wireshark, Process Explorer en dnSpy. Een deel van de malware wachtte bovendien 600 seconden, langer dan de 60 tot 300 seconden die de meeste geautomatiseerde analysesystemen doorgaans draaien.

Onze kijk

Technisch gezien is KGB RAT niet nieuw. De tool bouwt voort op NjRAT en de trucs voor persistentie en ontwijking zijn bekend. Wat opvalt, is de verpakking. Abonnementen in verschillende niveaus, tutorials, een pagina met juridische disclaimers en betaalde uitbreidingen laten het lijken op een commercieel product, en dat verlaagt de kennis die nodig is om een complete inbraak uit te voeren die eindigt met ransomware.

Dit past in een breder patroon van kant-en-klare crimeware voor kopers met weinig expertise, van malware die wachtwoorden steelt tot tools die cryptowallets leeghalen. Voor verdedigers zijn geplande taken die zich voordoen als Chrome-updates en een svchost.exe die vanuit een tijdelijke map draait duidelijke signalen om op te letten. Het is de moeite waard om in de gaten te houden of de uitbreiding "Network Spreading" opduikt bij echte inbraken, en of de "fun"-functies een nieuwe groep operators aantrekken die het eerder om intimidatie dan om winst te doen is.