- KGB RATは、リモートアクセス、認証情報の窃取、暗号資産のハイジャック機能を提供するMaaS（サービスとしてのマルウェア）プラットフォーム
- 偽のブルースクリーン（BSOD）、ジャンプスケア、スクリーマー機能など、特異な心理的攻撃手法を備える
- 研究者は複数の運用者がこのツールを使用していることを確認。犯罪目的の機能を持ちながら、正規ソフトウェアとして宣伝されている
ハロウィンが間近に迫るなか、サイバー犯罪者もこの時期を利用してWindowsユーザーを震え上がらせようとしています。Windowsユーザーにとって、悪名高いブルースクリーン（BSOD）ほど恐ろしいものはそう多くありません。今回新たに分析されたマルウェアは、その悪夢を武器に変えています。
セキュリティ研究者のGroup-IBは、新たに発見されたリモートアクセス型トロイの木馬（RAT）「KBG RAT」に関する詳細なレポートを公開しました。このマルウェアは2025年後半からアンダーグラウンドフォーラムで販売されていますが、研究者は2022年1月にさかのぼるインフラの痕跡も確認しています。開発者がコミュニティに公開する前に、しばらく非公開で使用されていた可能性は十分にあります。
KGB RAT
Group-IBによると、KGB RATはMaaS（Malware-as-a-Service）として提供されており、サブスクリプションは月額150ドルから、年額800ドルまでです。150ドルのプランは1か月間の利用権、800ドルのプランは1年間の利用権で、年間プランは月あたり約67ドルになります。
Group-IBによれば、最も安いプランでも、リモートデスクトップアクセス、ファイル管理、Webカメラとマイクへのアクセス、キーロギング、パスワード回復、エンドポイントでの永続化、各種の検知回避機能といった主要機能がすべて含まれています。
KGB RATは、クリップボードを監視してコピーされたウォレットアドレスを検出し、貼り付け時に攻撃者のアドレスへ差し替えることで、暗号資産の取引をハイジャックすることもできます。
一方、より高額なプランには、複数クライアントの管理、ペイロードのカスタマイズ、追加の回避機能、プラグインのサポート、より大規模なサーバーインフラへのアクセスが含まれます。身元不明の開発者は、侵害したネットワーク内でマルウェアを自動的に拡散できるとされる、500ドルの別売りアドオン「Network Spreading」も提供しています。
Boo!（ワッ！）
もっとも、このRATが際立っているのはハッキング機能ではなく、むしろスリラー的な機能です。Group-IBはレポートで、これらを「心理的嫌がらせ機能の一群」と表現しています。スクリーマー機能、ジャンプスケア、強制的なブルースクリーンなどが含まれます。ハロウィンの時期のジャンプスケアを「心理的嫌がらせ」と呼ぶのは少々大げさかもしれませんが、Windows 11以降にMicrosoftがOSに施した変更のほうが、よほどその分類に当てはまるのではないかと思います。
研究者によれば、KGB RATの開発者はこれらの機能を「お楽しみ設定（fun settings）」と呼んでいます。一方、Group-IBは、これを脅威アクターが「データ窃取と並行して、被害者の不安を武器にすることをためらわない」ことの表れだと指摘しています。暗号資産の窃取、データの持ち出し、キーロギング、リモートデスクトップアクセスと、不安をあおる手口は、どういうわけか相性がよいようです。
このマルウェアは検知を回避するよう設計されており、難読化、毎日更新されるとされるクリプター、サンドボックス検知、セキュリティ保護を無効化（または単に回避）する仕組みを使用します。新たなデバイスが感染すると、Telegramボットで攻撃者に通知し、ip-api.comを使って感染したエンドポイントの所在地を特定します。研究者は、同じマルウェアビルダーを使用する複数の運用者を確認したとしており、そのなかには被害者から暗号資産を盗むことに特化した運用者も少なくとも1人含まれていました。
KGB RATのもう一つの興味深い点は、正規のツールとして売り込まれていることです。Webサイトには（偽の）顧客レビューが掲載され、1万人以上のIT専門家が利用していると謳っています。教育セクションや各種のハウツー動画も用意されています。皮肉なことに、取材班がサイトを開こうとしたところ「502 Bad Gateway」エラーが返されました。閉鎖された可能性もありますが、一時的なサーバー障害やホスティングの問題という可能性もあり、今後復活するかもしれません。
Group-IBによると、サイトが稼働していた当時は、利用者にソフトウェアを正当な目的で使うよう促す免責事項、警告、通知を記載した法的事項のセクションが設けられていました。インストール、設定、使用方法を解説する教育動画も掲載されていました。
