KGB RAT：月租150美元的“心理战”木马，如何绕过Windows Defender窃取凭据并控制电脑

原创

网空闲话
网空闲话

网空闲话plus

2026年10月16日 07:01
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

2026年10月14日至15日，Group-IB 发布详细分析报告，Cybersecurity News与 Help Net Security相继跟进，揭示了一款名为KGB RAT的Windows远程访问木马。它的核心危险并不在于使用了全新技术，而在于以成熟NjRAT 代码为基础，通过恶意软件即服务（MaaS）模式商业化、模块化、日更化，并以低至每月150美元的价格租售。卖家宣称其内置 FUD 加密器可绕过并永久禁用Windows Defender，但这一说法需要审慎看待：Group-IB记录了其规避宣传与恶意行为，却未证明每个版本都能在所有系统上可靠击败Defender。真正确定的是，KGB RAT 把凭据窃取、键盘记录、隐藏桌面控制、加密剪贴板劫持、勒索软件以及心理骚扰功能打包进同一个构建器，显著降低了攻击门槛。

一、时间线：早于公开推广的多年开发

KGB RAT 并非2025年才凭空出现。Group-IB 发现，其服务器基础设施早期版本 v0.1 可追溯至2022年1月下旬。2025年9月，它首次出现在公共安全报告中，被早期泄露警报标记为新观察到的威胁；2025年末，它在地下黑客论坛被积极推广，并获 GBHackers、Cyber Press、Cryptika 等媒体关注。2026年10月，Group-IB 完成逆向与动态分析，Cybersecurity News 和 Help Net Security 随后报道。Help Net Security 指出，该分析由 Group-IB 恶意软件分析师 Alpomish Asadov 与 Razvan Raducu 完成。

二、MaaS 商业化与“合法软件”伪装

KGB RAT 采用免费与付费分层的 MaaS 模式，通过专用网站和 Telegram 群组销售。付费订阅每月150美元起，一年800美元，续订价格更低；另有500美元的“网络传播”附加组件，声称可自动化内网横向移动。其网站以虚假客户评价、“超过1万名 IT 专业人士使用”等说法包装，并提供安装、配置、使用教学视频，甚至设有完整法律章节和免责声明，鼓励“合法使用”。但论坛广告毫不掩饰：“使用这款 RAT 可以轻松入侵任何人的 Windows 系统。”两大卖点是：绕过并永久禁用 Windows Defender 等杀毒软件，以及无需端口转发。

三、功能矩阵：监控、窃取、控制、牟利、恐吓

KGB RAT 的功能覆盖多个层面。监控与窃取层包括：键盘记录、屏幕截图、剪贴板监控、网络摄像头与麦克风捕获、密码恢复、Windows 凭据管理器访问。控制与持久层包括：完整远程桌面控制、隐藏 VNC（HVNC）会话、文件上传下载删除修改、注册表编辑、进程与服务管理、UAC 绕过与提权、计划任务和注册表 Run 键持久化、rootkit 能力。牟利与分发层包括：载荷构建器（EXE、BAT、HTA、REG）、FUD 绑定器、唯一 Stub 生成器、LAN 传播、多客户端管理、Telegram 感染通知、Crypto Clipper 加密货币地址替换、勒索软件模块。恐吓层则包括开发者所称的“娱乐设置”：播放尖叫音效、展示惊吓画面、强制蓝屏。

四、攻击链：从 NjRAT 到“ChromeUpdate”

Group-IB 发现，多数样本是基于混淆版 NjRAT（0.7D Lime Edition）的 x86 PE 可执行文件，采用 VB.NET 编写。运行时，初始样本将自身复制到临时文件夹并重命名为 svchost.exe，再创建名为 ChromeUpdate 的计划任务，伪装成 Google Chrome 更新，设置为用户登录时以最高权限运行。它还修改注册表：将 ShowSuperHidden 设为0以隐藏受保护系统文件，将 SEE\_MASK\_NOZONECHECKS 设为1以跳过安全区域检查。

随后，恶意软件通过 WMI 查询操作系统、运行进程、已安装安全产品和主板信息，检查虚拟机与分析工具。首次连接 C2 时，它发送包含主机名、用户名、日期、Windows 版本、管理员权限状态和已安装杀毒产品的信标；同时查询 ip-api.com 获取公网 IP、国家、地区、城市、ISP 和大致坐标，并通过 Telegram Bot API 通知操作者。Group-IB 捕获的信标以“|Ghost|”分隔，代码中甚至留有“WhyYouReverseMe..ImInnocent..LoveYouu..”等开发者留言。

在凭据窃取方面，样本访问 Windows Credential Manager 的 Vault 目录、Policy.vpol 和 Latest.dat，可获取网站、网络资源和应用保存的登录信息。键盘记录通过 GetAsyncKeyState 轮询实现，而非系统钩子，更隐蔽；C2 循环中每4秒睡眠一次，分析期内调用4412次，持续约4.9小时。部分样本还设置600秒睡眠，以超出多数自动化沙箱60至300秒的分析窗口。

五、独特之处：心理骚扰、竞争消除与自我保护

KGB RAT 最不寻常之处，是把心理战纳入商品化木马。其“娱乐设置”可播放尖叫、展示惊吓、强制蓝屏，Group-IB 认为这类功能在同能力级别 RAT 中少见，表明开发者社区既包括财务动机的网络犯罪分子，也包括受破坏欲或恐吓动机驱动的低技能行为者。

它还内置 BotKillers 竞争消除模块，扫描并终止 rival 恶意软件，清除其持久化条目。其 IsFileMalicious 逻辑会检查数字签名、Hidden/System 属性，并将 Google.com、Microsoft.com 等加入白名单，把无签名、隐藏、位于用户可写目录的进程视为可清除对象。自我保护方面，样本可将自身标记为“关键进程”，终止它会导致系统蓝屏。反分析方面，样本会检查主板型号是否含“Sandbox”“Test”“Virtual Machine”等字符串，监控 Wireshark、Process Explorer、dnSpy 等工具，并使用 obito.txt 哨兵文件避免重复显示虚假错误信息。

六、影响与防范

KGB RAT 的威胁在于低门槛与持续维护。Group-IB 分析的多份样本共享同一构建器，多数指向主 C2 104[.]248[.]130[.]195（端口7489、7490、7492），一个样本使用备用 C2 2[.]59[.]134[.]215:443 混入 HTTPS。至少一个样本启用 CryptoClipper，硬编码 BTC、ETH 和 TRC-20 钱包地址，显示直接财务动机。勒索软件模块则让操作者可从初始访问直接转向勒索。

个人用户应：不运行意外可执行文件；注意异常 UAC 提示；不忽视虚假错误信息；定期检查计划任务，尤其 ChromeUpdate；保持杀毒软件更新。组织应：实施应用白名单；部署行为型 EDR；监控从 AppData\Local\Temp 运行的程序创建 /sc ONLOGON /rl HIGHEST 计划任务；对非浏览器进程访问 api.telegram.org 和 ip-api.com 进行出口过滤；封锁已知 C2；使用沙箱引爆可疑文件；并持续运营威胁情报，因为其加密器每日更新，IoC 有效期短。

结论

KGB RAT 再次证明：一款恶意软件不需要全新战术，也能造成新的入侵。它的危险来自成熟 NjRAT 代码的商业化包装、低至150美元的月租、日更规避、合法基础设施滥用，以及心理恐吓与竞争消除等非常规功能。对防御者而言，签名会过时，但行为与部署上下文不会说谎——监控异常进程链、计划任务、注册表修改和出站连接，比单纯依赖“是否被查杀”更重要。

参考文献

1. Tushar Subhra Dutta. KGB RAT Malware Bypasses Windows Defender to Steal Credentials and Control PCs. Cybersecurity News, 2026-10-15. https://cybersecuritynews.com/kgb-rat-malware/
2. Group-IB. KGB RAT: A Fully Undetectable Windows Trojan Built to Spy, Steal, and Terrorize. 2026-10-14. https://www.group-ib.com/blog/kgb-rat-windows-fud-trojan/
3. Sinisa Markovic. KGB RAT trojan packs webcam spying, password theft and a “fun” menu to terrorize victims. Help Net Security, 2026-10-15. https://www.helpnetsecurity.com/2026/10/15/kgb-rat-windows-trojan-webcam-spying-password-theft/