Malware
Trojan KGB RAT é alugado por 150 dólares por mês e dá acesso à webcam e às palavras-passe de PC com Windows
Investigadores da Group-IB analisaram um programa espião vendido em fóruns de piratas como se fosse uma ferramenta de administração remota. Liga a câmara e o microfone, regista o que escreves, troca endereços de carteiras de criptomoedas e tem um menu de "diversão" para assustar a vítima.
Um programa espião para Windows que se vende em fóruns de piratas por 150 dólares por mês promete a quem o compra o controlo quase total do computador da vítima, da webcam às palavras-passe guardadas. Chama-se KGB RAT e foi analisado pelos investigadores Alpomish Asadov e Razvan Raducu, da empresa de cibersegurança Group-IB, que publicou o estudo a 14 de outubro. Segundo a análise, o programa assenta no NjRAT, um trojan de acesso remoto conhecido há anos e usado por atacantes de todos os níveis.
Vendido como ferramenta de administração
O site do KGB RAT apresenta-o como uma ferramenta legítima de administração remota, com avaliações falsas de clientes, a alegação de que é usado por mais de 10.000 profissionais de informática, vídeos de instalação e até uma secção de avisos legais. Nos fóruns, a publicidade é bem mais direta e destaca dois argumentos: a capacidade de contornar e desligar de forma permanente o Windows Defender e outros antivírus, e o facto de funcionar sem configurar o router, o que facilita a vida a atacantes com pouca experiência.
As subscrições vão de 150 dólares por um mês a 800 dólares por um ano, e há um extra de 500 dólares que, segundo os vendedores, espalha o programa automaticamente dentro de uma rede. A Group-IB nota que existe também uma versão gratuita. O primeiro registo público do KGB RAT é de setembro de 2025, mas os investigadores encontraram referências a uma versão 0.1 do servidor em janeiro de 2022.
O que faz num computador infetado
Mesmo o pacote mais barato inclui ambiente de trabalho remoto, gestão de ficheiros, acesso à câmara e ao microfone, registo de tudo o que escreves e roubo de palavras-passe guardadas nos browsers, noutras aplicações e no Gestor de Credenciais do Windows. Há ainda uma sessão de ambiente de trabalho escondida, que a vítima nunca vê. Assim que entra num PC, o programa envia ao atacante o nome do computador e do utilizador, a versão do Windows e o antivírus instalado, além da localização aproximada, e pode avisá-lo por um bot no Telegram.
Uma das amostras tinha ligado um módulo que vigia a área de transferência e troca os endereços de carteiras de bitcoin, ether e Tron pelos do atacante, para desviar pagamentos. O KGB RAT inclui também ransomware e um menu de "diversão" com gritos, imagens assustadoras e ecrãs azuis forçados, pensado para aterrorizar quem está do outro lado.
Sinais e cuidados
A Group-IB não descreve como o programa chega às vítimas, mas a configuração analisada prevê que se copie para todos os discos ligados, incluindo pens USB. Nas amostras estudadas, ficava ativo depois de reiniciar com uma tarefa agendada chamada ChromeUpdate e uma cópia de si próprio com o nome svchost.exe na pasta de ficheiros temporários.
Como o programa promete desligar o antivírus, convém desconfiar se o Windows Defender aparecer desativado sem teres mexido nas definições. Evita abrir executáveis que chegam por mensagem ou de pens que não são tuas e, se colares um endereço de carteira de criptomoedas, confirma os primeiros e os últimos carateres antes de enviar o pagamento.
