据TechRadar 10月15日报道，安全研究机构Group-IB发布报告称，一款名为KGB RAT的远程访问木马正以恶意软件即服务形式在地下论坛出售，除远程控制、窃取凭据和加密货币外，还内置惊跳、尖叫与强制蓝屏等心理恐吓功能。报告称，该恶意软件至少从2025年底开始在地下论坛宣传，但其基础设施痕迹可追溯至2022年1月。

Group-IB说，KGB RAT的订阅价格从每月150美元到每年800美元不等，年付套餐约合每月67美元。每月150美元套餐包含远程桌面访问、文件管理、摄像头和麦克风访问、键盘记录、密码恢复、端点持久化和多种反检测功能。更贵套餐增加了多客户端管理、载荷定制、额外规避功能、插件支持以及更多服务器基础设施。开发者还单独出售标价500美元的网络传播附加组件，声称可让恶意软件在受损网络中自动传播。

该木马还瞄准加密货币交易：它会监视剪贴板中的钱包地址，并在用户粘贴时将其替换为攻击者控制的地址。报告称，研究人员发现了多个使用同一恶意软件构建器的运营者，其中至少有一个专注于窃取受害者的加密货币。

与常见窃密木马不同，KGB RAT最引人注意的部分是心理骚扰功能。Group-IB将其描述为一套心理骚扰功能，包括尖叫程序、惊跳和强制蓝屏。开发者则把这些选项称为“趣味设置”。Group-IB认为，这表明威胁行为者在数据窃取之外，也乐于利用受害者的焦虑。

在规避检测方面，KGB RAT使用混淆、据称每日更新的加密器、沙箱检测，以及禁用或绕过安全保护机制。它通过Telegram机器人通知攻击者新设备被感染，并利用ip-api.com判断受感染端点所在位置。

KGB RAT还被包装成合法工具。它的网站带有伪造的客户评价，声称有超过1万名IT专业人员使用，并提供教学板块和操作视频。Group-IB发现，网站还包含法律条款、免责声明、警告和通知，鼓励用户合法使用该软件。TechRadar试图打开该网站时，页面返回“502 Bad Gateway”错误；这可能意味着网站已被关闭，也可能是临时服务器故障或托管问题，未来仍可能重新上线。