保存された認証情報を狙いつつ、感染したコンピューターを攻撃者が持続的に制御できるようにするWindows向けリモートアクセス型トロイの木馬（RAT）が確認されました。
この認証情報の窃取活動では、ブラウザーのパスワードやリモートデスクトップの認証情報、Microsoftアカウントのトークンに関連するWindowsボールト（vault）のデータにアクセスします。
2026年10月14日に公開された調査レポートによると、このマルウェアは2025年後半から地下フォーラムで販売されているサービスです。
販売者は正規の管理ソフトウェアとして宣伝していますが、実際には監視機能、認証情報の窃取、隠しデスクトップへのアクセス、さらにランサムウェア機能とされるものまでを併せ持っています。料金は月額150ドルからです。
分析されたサンプルの大半は、主にVB.NETで書かれた32ビットの.NET実行ファイルでした。研究者らは、Bladabindiとも呼ばれるNjRATとの類似点を数多く確認しています。KGB RATは、まったく新しい技術基盤を導入したものではなく、既存のマルウェアの機能を再パッケージしたものといえます。
実行時、このマルウェアがWindows資格情報マネージャーのボールトディレクトリを系統的に調べる様子が観測されました。
マルウェアはボールトの暗号化ポリシー情報を含むPolicy.vpolにアクセスし、UserProfileRoamingディレクトリ内のLatest.datも読み取っていました。
Group-IBはこの動きを認証情報の窃取と関連付けています。ただし、ファイルへのアクセスだけでは、保存されたすべての機密情報の復号や窃取に成功したとは断定できません。
このマルウェアは、WindowsのGetAsyncKeyState関数を使ってキーボード入力も記録します。このポーリング方式は個々のキーの状態を繰り返し確認するもので、攻撃者は入力された情報を取得できます。
画面キャプチャとクリップボードの監視により、端末に保存済みの認証情報以外にも収集経路が広がります。
分析対象のサンプルは、常駐のために自身を一時ディレクトリにsvchost.exeという紛らわしい名前でコピーしていました。
続いて、ユーザーのログオン時に利用可能な最上位の権限で起動するよう構成したChromeUpdateという名前のスケジュールタスクを作成します。ほかにも、レジストリのRunエントリやスタートアップフォルダーのショートカットによる常駐手段が用意されています。
インストールされたコピーはエクスプローラーの設定を変更して保護されたファイルを隠し、PowerShellを使って開いているエクスプローラーのウィンドウを更新していました。
研究者らは、Windowsの添付ファイルに対するセキュリティチェックを抑止する変更も確認しました。これにより、その後の実行がユーザーの注意を引きにくくなります。
KGB RATは、コマンドサーバーへの直接接続によって操作を制御します。これとは別に、新たな感染を運用者に知らせるために、Telegramの通知を悪用します。
ip-api.comへのリクエストで被害者の位置情報を取得します。サーバーへの最初のメッセージでは、ホスト名、ユーザー名、OS、インストール済みのウイルス対策ソフトなどの情報を報告します。
研究者らは、コマンドインフラとして104[.]248[.]130[.]195のポート7489、7490、7492、および2[.]59[.]134[.]215のポート443を特定しました。
設定の違いから、同じビルダーを複数の運用者が使用している可能性がうかがえます。すべてのサンプルが単一のキャンペーンに属することを示すものではありません。
あるサンプルでは、コピーされた暗号資産のウォレットアドレスを攻撃者が管理するアドレスに置き換えるCryptoClipperが有効になっていました。
そのほかに分析された機能には、仮想マシンや解析ツールの確認、遅延実行、マルウェアのプロセスが終了された際にシステムクラッシュを引き起こすオプション機構などがあります。
開発者らは自社のクリプターを「完全検知不能（FUD）」とうたっています。しかし、Group-IBの報告によると、振る舞いベースの検知には成功しています。
そのため防御側は、不審なタスクの作成、一時ディレクトリ内の実行ファイル、認証情報ボールトへのアクセス、エンドポイントのプロセスからの異常なTelegram通信といった振る舞いを優先して監視すべきです。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/kgb-rat-steals-credentials/
