KGB RAT: Windows-Trojaner für Webcam-Spionage ab 150 Dollar
Ein Fernzugriffstrojaner für Windows namens KGB RAT wird in Hackerforen im Abo verkauft. Käufer erhalten Zugriff auf Webcam, Mikrofon, Tastatureingaben und gespeicherte Passwörter des Opfers. Zum Paket gehört außerdem ein Menü mit Funktionen, die der Person am infizierten Rechner Angst einjagen sollen.
Die Malware-Analysten Alpomish Asadov und Razvan Raducu von Group-IB haben das Werkzeug untersucht. Sie fanden heraus, dass es auf NjRAT basiert, einem bekannten Fernzugriffstrojaner, der von Angreifern mit ganz unterschiedlichem Können eingesetzt wird.
Jahrelange Entwicklung
Öffentlich tauchte KGB RAT erstmals im September 2025 in Sicherheitsberichten auf, als eine Warnmeldung zu einem Datenleck ihn als neu beobachtete Bedrohung aufführte. Mehr Aufmerksamkeit bekam er Ende 2025, als er in Hackerforen beworben wurde.
Die Forscher stießen zudem auf eine öffentliche Meldung von Ende Januar 2022, die einen KGB-RAT-Server in Version 0.1 erwähnt. Aus ihrer Sicht zeigt das, dass der Entwickler das Werkzeug jahrelang aufgebaut und getestet hat, bevor er es verkaufte.
Die Website des Verkäufers präsentiert KGB RAT als Produkt zur Windows-Administration. "Die Website vermarktet KGB RAT als fortschrittliches Werkzeug zur Windows-Administration und wirbt vorneweg mit vollständiger Kontrolle über Windows, Verschlüsselung auf Militärniveau, 100 % Fully Undetectable (FUD)-Technologie, erweiterter Überwachung, Telegram-Benachrichtigungen und täglichen Updates. Unter diesem Marketing-Anstrich liest sich der beworbene Funktionsumfang jedoch wie ein ziemlich vollständiges Überwachungs- und Kontrollwerkzeug", erklärte Group-IB.
Die Seite zeigt gefälschte Kundenbewertungen und behauptet, mehr als 10.000 IT-Fachleute würden die Software nutzen. Außerdem gibt es Anleitungsvideos zu Installation, Einrichtung und Bedienung. "Es gibt sogar einen kompletten Rechtsbereich mit Haftungsausschlüssen", merkte Group-IB an. Der Text in diesem Bereich fordert Käufer auf, die Software rechtmäßig zu nutzen.
Die Anzeigen in den Foren waren weit weniger vorsichtig. In einer hieß es, "you can hack anyone Windows easily by using this RAT" - man könne mit diesem RAT also jeden Windows-Rechner problemlos hacken. Die Anzeigen stellten zwei Verkaufsargumente in den Vordergrund. Das erste ist die Behauptung, der Trojaner könne den Windows Defender und andere Antivirenprogramme umgehen und dauerhaft abschalten. Das zweite: Er funktioniert ohne Portweiterleitung, was die Hürde für unerfahrene Angreifer senkt.
Abostufen und Zusatzmodule
Die Preise reichen von 150 Dollar für einen Monat bis 800 Dollar für ein Jahr, Verlängerungen gibt es mit Rabatt. Der Einstiegstarif umfasst Fernzugriff auf den Desktop, Dateiverwaltung, Zugriff auf Kamera und Mikrofon, Keylogging, Passwortdiebstahl, Persistenz sowie Funktionen gegen die Erkennung.
Mit den teureren Tarifen können Betreiber mehrere infizierte Rechner gleichzeitig steuern. Hinzu kommen eine anpassbare Schadsoftware, weitere Tarnoptionen, Plugin-Unterstützung und Zugang zu mehr Servern.
Ein separates Zusatzmodul namens "Network Spreading" kostet 500 Dollar. Laut den Verkäufern automatisiert es die Verbreitung der Malware innerhalb eines kompromittierten Netzwerks. KGB RAT wird außerdem mit Ransomware ausgeliefert. Laut Group-IB kann ein Angreifer damit vom ersten Zugriff bis zur Erpressung gelangen, ohne weitere Werkzeuge installieren zu müssen.
"Die Preisgestaltung vermittelt einen Eindruck davon, wie niedrig die Einstiegshürde sein kann", sagten die Forscher.
Was der Trojaner abgreift
Zu den beworbenen Funktionen gehört eine versteckte Remote-Desktop-Sitzung, die das Opfer nicht sieht, dazu die Kontrolle über Bildschirm, Maus und Tastatur. In den Tests von Group-IB zeichnete der Trojaner Tastatureingaben auf und griff auf die Windows-Anmeldeinformationsverwaltung zu, in der Windows Zugangsdaten für Websites, Netzwerkressourcen und Anwendungen speichert. Das Keylogging war in jeder untersuchten Probe aktiviert.
Beim ersten Kontakt mit seinem Steuerungsserver meldet die Malware Computername, Benutzername, Datum, Windows-Version, ob der Nutzer Administratorrechte hat und welches Antivirenprogramm installiert ist. Anschließend fragt sie einen Geolokalisierungsdienst ab, um die öffentliche IP-Adresse des Opfers, Land, Region, Stadt, Anbieter und ungefähre Koordinaten zu ermitteln. Diese Daten kann sie an einen Telegram-Bot schicken, sodass der Betreiber benachrichtigt wird, sobald ein neues Opfer online ist.
Ein CryptoClipper-Modul überwacht die Zwischenablage auf Adressen von Kryptowallets und ersetzt sie durch Adressen, die der Angreifer kontrolliert. "Nur bei einer Probe ist das CryptoClipper-Modul aktiviert, mit drei fest hinterlegten Wallet-Adressen für BTC, ETH und TRC-20 (Tron). Damit ist sie die am stärksten finanziell motivierte Probe im Set und zielt vermutlich auf ein anderes Opferprofil", so Group-IB.
Schreckbilder und erzwungene Abstürze
Ein Menü mit der Bezeichnung "Extra" enthält das, was die Entwickler "fun settings" nennen, also Spaßeinstellungen. Damit kann der Betreiber Schreigeräusche abspielen, Schockbilder einblenden und den Rechner zum Absturz bringen.
"Die Funktionen zur Belästigung und psychischen Belastung - Screamer-Funktionen, erzwungene Bluescreens und das, was die Entwickler als 'fun settings' bezeichnen - sind bei RAT-Werkzeugen dieser Leistungsklasse eher selten", stellte Group-IB fest. Die Forscher sehen darin einen Hinweis auf eine Kundschaft, in der sich profitorientierte Kriminelle mit weniger versierten Akteuren mischen, die ihre Opfer stören oder einschüchtern wollen.
Versteckt vor aller Augen
In den Tests kopierte sich der Trojaner als svchost.exe in den Temp-Ordner - unter dem Namen eines gewöhnlichen Windows-Prozesses. Er legte eine geplante Aufgabe namens ChromeUpdate an, die ihn bei jeder Anmeldung mit den höchsten verfügbaren Rechten startet. Außerdem änderte er Windows-Einstellungen, um geschützte Systemdateien auszublenden und Sicherheitsprüfungen beim Programmstart zu überspringen. Beim ersten Start kann er eine gefälschte Fehlermeldung über fehlende oder beschädigte Dateien anzeigen.
Die Malware versucht zudem, sich der Analyse zu entziehen. Eine Probe brach ab, wenn das Mainboard-Modell Bezeichnungen wie "Sandbox", "Test" oder "Virtual Machine" enthielt. Eine andere suchte nach Werkzeugen wie Wireshark, Process Explorer und dnSpy. Ein Teil der Malware legte zudem eine Pause von 600 Sekunden ein - länger als die 60 bis 300 Sekunden, die die meisten automatisierten Analysesysteme üblicherweise laufen.
Unsere Einschätzung
Technisch ist KGB RAT nichts Neues. Er baut auf NjRAT auf, und seine Tricks für Persistenz und Tarnung sind bekannt. Auffällig ist die Verpackung. Abostufen, Anleitungen, eine Seite mit Haftungsausschluss und kostenpflichtige Zusatzmodule lassen ihn wie ein kommerzielles Produkt wirken - und das senkt das nötige Know-how, um einen vollständigen Angriff durchzuziehen, der mit Ransomware endet.
Das passt zu einem breiteren Trend von schlüsselfertiger Crimeware für Käufer mit wenig Fachwissen, von Malware zum Passwortdiebstahl bis zu Werkzeugen, die Kryptowallets leerräumen. Für Verteidiger sind geplante Aufgaben, die sich als Chrome-Update ausgeben, und eine svchost.exe, die aus einem Temp-Ordner läuft, eindeutige Warnsignale. Es lohnt sich zu beobachten, ob das Zusatzmodul "Network Spreading" bei echten Angriffen auftaucht und ob die "Spaß"-Funktionen eine neue Gruppe von Betreibern anlocken, denen es eher um Belästigung als um Profit geht.