KGB RAT: trojan "indetectável" vendido como serviço combina roubo de credenciais com troca de carteiras cripto
A Group-IB analisou o KGB RAT, um trojan de acesso remoto vendido em fóruns underground como malware-as-a-service, com planos a partir de US$ 150/mês e crypter atualizado diariamente para evitar detecção. Além de keylogging, HVNC e extração de senhas salvas no Windows, o malware traz um módulo CryptoClipper que troca silenciosamente endereços de carteiras de criptomoeda copiados pela vítima, revelando motivação financeira clara por trás da ferramenta.
O KGB RAT é anunciado em fóruns underground desde o fim de 2025 como "ferramenta de administração remota legítima", mas na prática opera como um pacote completo de espionagem e extorsão vendido no modelo malware-as-a-service, com assinaturas entre US$ 150 por mês e US$ 800 por ano. O pacote inclui um crypter FUD (fully undetectable) com atualizações diárias, builder para gerar payloads em múltiplos formatos (.exe, .bat, .hta, .reg) e até um site de vendas com depoimentos falsos de clientes e disclaimers jurídicos para simular legitimidade — um modelo de comercialização cada vez mais comum entre famílias de RAT baseadas em código antigo como o NjRAT.
Tecnicamente, o malware combina keylogging, captura de tela e de clipboard, acesso a câmera e microfone, HVNC (VNC oculto) para controle remoto invisível à vítima, e extração direta de senhas salvas no Windows Credential Manager e em navegadores. O componente que interessa diretamente a um pipeline de fraude é o CryptoClipper: ele monitora a área de transferência e, ao detectar um endereço de carteira de criptomoeda copiado pela vítima (por exemplo, ao colar o destino de uma transferência de Bitcoin, Ethereum ou USDT na rede TRC-20), substitui silenciosamente o endereço pelo de uma carteira controlada pelo atacante. A vítima só percebe quando o dinheiro já foi parar na conta errada, já que confirma visualmente o que acredita ser o endereço correto antes de colar.
O malware também inclui funcionalidade de ransomware e um conjunto incomum de recursos de "assédio psicológico" — telas de susto, falsas telas azuis da morte e mensagens de erro fabricadas — usados tanto para intimidar a vítima quanto para mascarar a real atividade maliciosa em segundo plano. Camadas de evasão incluem detecção de máquina virtual, verificação de sandbox, atrasos de até dez minutos antes de ativar e proteção contra encerramento do processo.
Para defesa, o ponto prático é que qualquer transferência de criptoativos deve ser validada conferindo múltiplos caracteres do endereço de destino diretamente na interface da carteira ou exchange (não apenas visualmente colado), idealmente com confirmação por QR code ou endereço salvo previamente, nunca por colagem às cegas. Times de segurança devem monitorar por processos com nomes mascarados de atualização (como "ChromeUpdate" em tarefas agendadas), tráfego para infraestrutura de C2 combinada com notificações via Telegram Bot API, e tratar qualquer credencial salva em navegador em máquina comprometida como vazada, exigindo troca e revogação de sessões. Como o modelo MaaS baixa a barreira técnica para qualquer criminoso operar esse tipo de fraude, a tendência é a proliferação de variantes com o mesmo foco em clipboard-hijacking financeiro.