KGB RAT：毎日更新で検知を逃れる万能RAT ｜ブログ(ほぼこもセキュリティニュース)

サイバーセキュリティ企業Group-IBは、Windows環境を標的としたリモートアクセス型トロイの木馬（RAT）「KGB RAT」の最新分析レポートを公開しました。
本悪性ソフトウェアは、アンダーグラウンドのフォーラムやTelegram等で「Malware-as-a-Service（MaaS）」として月額150ドル〜年額800ドルで販売されています。
表向きは偽の利用規約や顧客レビューを用いて正当な「リモート管理ツール」を装っていますが、実態は潜伏・情報窃取・遠隔操作・身代金要求（ランサムウェア）、さらには被害者への心理的嫌がらせ（恐怖演出）までを1つのビルダーに集約した高度かつ包括的な攻撃キットです。
2025年後半から本格的なプロモーションが開始されましたが、2022年から開発が続けられていた形跡が確認されています。
特徴的な部分をみてみましょう。

毎日更新される「FUD（完全未検知）クリプター」と検出回避機能
- 概要
  セキュリティ対策ソフト（Windows Defenderなど）の検知を無効化・回避するための暗号化ツール（クリプター）が標準搭載されています。
- 注目ポイント
  開発者はウイルス定義ファイルの更新に対抗するため、クリプターを「毎日更新」して攻撃者に提供しています。
  また、.exe だけでなく .bat や .hta など多様なファイル形式でペイロードを出力できるため初期侵入に悪用されやすく、サンドボックス（検証環境）やセキュリティ分析ツール（Wireshark, Process Explorer等）を検知すると動作を停止する回避ロジックも備えています。
ステルス性の高い遠隔操作（HVNC）およびポート開放不要のC2通信
- 概要
  攻撃者が被害者の画面をリアルタイムで閲覧・操作できるリモートデスクトップ機能に加え、被害者に気づかれない裏のデスクトップ操作環境「HVNC（Hidden VNC）」を搭載しています。
- 注目ポイント
  通常のルータ設定で必要となる「ポート開放（Port Forwarding）」を必要としない仕組みを採用しており、知識の浅いスクリプトキディ（初心者攻撃者）でも容易に遠隔操作インフラを構築可能です。
複合的な金銭窃取モジュール（パスワード・暗号資産・ランサムウェア）
- 概要
  端末感染後、キーロガーやWindows Credential Manager、各種ブラウザから保存されたパスワードを窃取します。
- 注目ポイント
  クリップボード上の暗号資産ウォレットアドレスを書き換える「CryptoClipper」モジュールや、端末上のファイルを暗号化するランサムウェア機能も最初からパッケージに統合されています。
  これにより、攻撃者は単一のツールで潜伏調査から金銭脅迫までを一気通貫で行うことができます。
正規サービスの悪用による低プロファイル運用
- 概要
  C2（遠隔指令）通信の通知にTelegram Bot APIを悪用し、被害者端末のIPアドレスや位置情報（ip-api.com経由で取得）を攻撃者へ自動送信します。
- 注目ポイント
  一般的なWeb通信（Telegram等）に紛れ込ませることで、ネットワーク検知（IDS/IPS等）による異常通信の察知を難しくさせています。
「Fun settings」と呼ばれる心理的嫌がらせ（ハラスメント）機能
- 概要
  画面上に恐怖画像を突然表示させる「ジャンプスケア（Jump scare）」、大音量で悲鳴を鳴らす「スクリーマー」、強制的にブルースクリーン（BSOD）を引き起こす機能が含まれています。
- 注目ポイント
  通常の金銭目的のRATには珍しい機能であり、従来の金銭目的のサイバー犯罪者層だけでなく、単なる嫌がらせや混乱（Disruption）目的の低年齢・低スキル層にも攻撃の参入障壁を下げる要因となっています。

KGB RATは、既存の有名なRATである「njRAT」のコード構造をベースに拡張されたものであり、新技術の発明というよりは「攻撃者に必要なすべての機能を低価格（MaaS）かつ使いやすい形でパッケージ化した脅威」です。
特に、「クリプターの毎日更新」によるセキュリティソフトの回避、「HVNCやランサムウェアの統合」による迅速な実害発生、「Telegram悪用」による監視回避は、組織のセキュリティ運用にとって極めて高いリスクとなります。

推奨される対策はこうです。

EDR/振る舞い（動的）検知の強化
シグネチャ（定義ファイル）検知に頼らず、プロセス挙動（svchost.exeの偽装や不正なタスクスケジューラ登録など）を監視する挙動検知を導入する。
ネットワーク監視の徹底
Telegram Bot API（api.telegram.org）や位置情報API（ip-api.com）への不正な通信がないか、組織内端末の送信ログを定期チェック・監視する。
特権IDの管理
Windows Credential Manager等の認証情報が即座に奪われないよう、最小権限の原則（PoLP）徹底および多要素認証（MFA）を導入する。

攻撃機能の多さもさることながら、個人的には「クリプターの毎日更新」が一番凶悪に思えます。
開発者側の“無駄に手厚いアフターサポート”のせいで、こちらのシグネチャ更新が常に後手に回るのが実に忌々しいところです。
これがある限り、挙動検知への移行は文字通り「待ったなし」ですね。

KGB RAT: A Fully Undetectable Windows Trojan Built to Spy, Steal, and Terrorize
https://www.group-ib.com/blog/kgb-rat-windows-fud-trojan/