Troyano KGB RAT vende espionaje por webcam desde 150 $/mes
En los foros de hacking se vende por suscripción un troyano de acceso remoto para Windows llamado KGB RAT. Quienes lo compran pueden acceder a la webcam, el micrófono, las pulsaciones de teclado y las contraseñas guardadas de la víctima. El paquete incluye además un menú de funciones pensadas para asustar a quien use el ordenador infectado.
Los analistas de malware de Group-IB Alpomish Asadov y Razvan Raducu han examinado la herramienta. Según sus conclusiones, está basada en NjRAT, un conocido troyano de acceso remoto que utilizan atacantes de niveles muy distintos.
Años de desarrollo
KGB RAT apareció por primera vez en informes públicos de seguridad en septiembre de 2025, cuando una alerta de brecha lo incluyó como amenaza observada por primera vez. Ganó notoriedad a finales de 2025, cuando empezó a anunciarse en foros de hacking.
Los investigadores también encontraron una publicación de finales de enero de 2022 que menciona un servidor de KGB RAT en la versión 0.1. A su juicio, esto demuestra que el desarrollador pasó años construyendo y probando la herramienta antes de ponerla a la venta.
La web del vendedor presenta KGB RAT como un producto de administración de Windows. "La web promociona KGB RAT como una herramienta avanzada de administración de Windows y destaca como reclamos principales el control total de Windows, un cifrado de nivel militar, una tecnología 100% indetectable (FUD), monitorización avanzada, alertas por Telegram y actualizaciones diarias. Sin embargo, bajo esa capa de marketing, el conjunto de funciones anunciado equivale a un kit de vigilancia y control bastante completo", explicó Group-IB.
El sitio muestra reseñas falsas de clientes y asegura que más de 10.000 profesionales de TI utilizan el software. También ofrece vídeos tutoriales de instalación, configuración y uso. "Hay incluso una sección legal entera con avisos", señaló Group-IB. El texto de esa sección pide a los compradores que usen el software de forma legal.
Los anuncios en los foros eran mucho menos prudentes. Uno de ellos aseguraba a los compradores que "puedes hackear el Windows de cualquiera fácilmente usando este RAT". Los anuncios insistían en dos argumentos de venta principales. El primero, que el troyano es capaz de esquivar y desactivar de forma permanente Windows Defender y otros antivirus. El segundo, que funciona sin redirección de puertos, lo que facilita las cosas a los atacantes sin experiencia.
Planes de suscripción y extras
Los precios van de 150 dólares por un mes a 800 dólares por un año, con descuentos en las renovaciones. El plan básico incluye acceso a escritorio remoto, gestión de archivos, acceso a cámara y micrófono, registro de pulsaciones, robo de contraseñas, persistencia y funciones para evitar la detección.
Los planes más caros permiten a los operadores gestionar varios equipos infectados a la vez. También añaden personalización de la carga útil, más opciones de evasión, soporte para plugins y acceso a más servidores.
Un extra aparte llamado "Network Spreading" cuesta 500 dólares y, según los vendedores, automatiza la propagación del malware dentro de una red comprometida. KGB RAT incluye además un ransomware. Group-IB explica que esto permite a un atacante pasar del acceso inicial a la extorsión sin instalar ninguna otra herramienta.
"Los precios dan una idea de lo baja que puede ser la barrera de entrada", afirmaron los investigadores.
Qué recopila el troyano
Entre las funciones anunciadas figura una sesión de escritorio remoto oculta que la víctima no puede ver, además del control de la pantalla, el ratón y el teclado. En las pruebas de Group-IB, el troyano registró pulsaciones de teclado y accedió al Administrador de credenciales de Windows, donde el sistema guarda los datos de inicio de sesión de webs, recursos de red y aplicaciones. El registro de pulsaciones estaba activado en todas las muestras que analizó el equipo.
Cuando contacta por primera vez con su servidor de mando, el malware envía el nombre del equipo, el nombre de usuario, la fecha, la versión de Windows, si el usuario tiene permisos de administrador y qué antivirus está instalado. Después consulta un servicio de geolocalización por IP para obtener la IP pública de la víctima, el país, la región, la ciudad, el proveedor y unas coordenadas aproximadas. Puede enviar estos datos a un bot de Telegram, de modo que el operador recibe un aviso cuando una nueva víctima se conecta.
Un módulo CryptoClipper vigila el portapapeles en busca de direcciones de monederos de criptomonedas y las sustituye por direcciones que controla el atacante. "Solo una muestra tiene activado el módulo CryptoClipper, con tres direcciones de monedero integradas en el código para BTC, ETH y TRC-20 (Tron). Eso la convierte en la muestra con mayor motivación económica del conjunto y probablemente apunta a un perfil de víctima distinto", indicó Group-IB.
Gritos y cuelgues forzados
Un menú llamado "Extra" contiene lo que los desarrolladores denominan "fun settings" (ajustes divertidos). Con ellos, el operador puede reproducir gritos, mostrar sustos repentinos y colgar el ordenador.
"Las funciones de acoso y angustia psicológica (gritos, pantallazos azules forzados y lo que los desarrolladores llaman 'fun settings') son menos habituales en herramientas RAT de este nivel de capacidad", afirmó Group-IB. Los investigadores creen que esto apunta a una clientela que mezcla delincuentes que buscan dinero con actores menos preparados que quieren perjudicar o intimidar a sus víctimas.
Escondido a plena vista
En las pruebas, el troyano se copió a la carpeta temporal como svchost.exe, el nombre de un proceso estándar de Windows. Creó una tarea programada llamada ChromeUpdate que lo ejecuta en cada inicio de sesión con los máximos privilegios disponibles. También modificó la configuración de Windows para ocultar los archivos protegidos del sistema y saltarse las comprobaciones de seguridad al iniciar programas. En la primera ejecución, puede mostrar un falso mensaje de error sobre archivos ausentes o dañados.
El malware intenta además evitar el análisis. Una de las muestras se detenía si el modelo de la placa base coincidía con nombres como "Sandbox", "Test" o "Virtual Machine". Otra buscaba herramientas como Wireshark, Process Explorer y dnSpy. Una parte del malware también se quedaba en pausa durante 600 segundos, más que los 60 a 300 segundos que suelen durar la mayoría de los sistemas de análisis automatizado.
Nuestra opinión
KGB RAT no es nuevo desde el punto de vista técnico. Se apoya en NjRAT, y sus trucos de persistencia y evasión ya son conocidos. Lo que llama la atención es el envoltorio. Planes por niveles, tutoriales, una página de avisos legales y extras de pago le dan aspecto de producto comercial, y eso reduce los conocimientos necesarios para llevar a cabo una intrusión completa que termina en ransomware.
Encaja en una tendencia más amplia de crimeware listo para usar dirigido a compradores con pocos conocimientos, desde malware que roba contraseñas hasta herramientas que vacían monederos de criptomonedas. Para los defensores, las tareas programadas que se hacen pasar por actualizaciones de Chrome y un svchost.exe ejecutándose desde una carpeta temporal son señales claras que vigilar. Habrá que ver si el extra "Network Spreading" aparece en intrusiones reales y si las funciones "divertidas" atraen a un nuevo grupo de operadores movidos por el acoso más que por el dinero.