Phân tích mã độc KGB RAT và phương thức qua mặt phần mềm bảo mật

Các nhà nghiên cứu bảo mật đã công bố báo cáo chi tiết về KGB RAT, một dòng mã độc truy cập từ xa (Remote Access Trojan) đang hoạt động mạnh mẽ trên các diễn đàn ngầm với mục đích gián điệp và chiếm quyền điều khiển hệ thống.

Nguồn gốc và mô hình hoạt động của KGB RAT

Theo ghi nhận từ các chuyên gia thuộc Group-IB, KGB RAT bắt đầu được quảng bá rộng rãi từ cuối năm 2025, dù hạ tầng máy chủ của mã độc này đã manh nha xuất hiện từ tháng 1 năm 2022. Công cụ này được vận hành theo mô hình Malware-as-a-Service (MaaS), cho phép tin tặc thuê lại quyền truy cập thay vì tự phát triển. Người cung cấp dịch vụ duy trì các bản cập nhật crypter hàng ngày cùng trình tạo payload hỗ trợ nhiều định dạng tệp tin như EXE, BAT, HTA và REG.

Đặc điểm kỹ thuật và khả năng né tránh

Về mặt kỹ thuật, KGB RAT phát triển dựa trên mã nguồn của NjRAT - một dòng Trojan quen thuộc. Kẻ tấn công đã tích hợp các lớp đóng gói thương mại và kỹ thuật làm rối mã nhằm vô hiệu hóa khả năng nhận diện của các giải pháp chống virus truyền thống dựa trên chữ ký.

Khi xâm nhập thành công, mã độc tự sao chép vào thư mục tạm và chạy dưới tên tiến trình svchost.exe nhằm ngụy trang thành tiến trình hợp pháp của hệ điều hành. Để bám trụ lâu dài, nó thiết lập một tác vụ định kỳ mang tên ChromeUpdate, giúp mã độc tự khởi chạy mỗi khi người dùng đăng nhập.

Hành vi thu thập dữ liệu và điều khiển từ xa

Trước khi kích hoạt các tính năng độc hại, KGB RAT tiến hành kiểm tra môi trường bằng cách truy vấn Windows Management Instrumentation nhằm thu thập thông tin về hệ thống, tiến trình và các phần mềm bảo mật. Nó cũng nhận diện các dấu hiệu của máy ảo hoặc môi trường sandbox để ngưng hoạt động nhằm tránh bị phân tích.

Mã độc có khả năng trích xuất thông tin xác thực từ Windows Credential Manager, tích hợp tính năng keylogger để ghi lại thao tác phím và sử dụng công nghệ hidden VNC để kẻ xấu điều khiển từ xa mà không làm nạn nhân hay biết.

Biện pháp phòng thủ và giám sát

Đặc điểm nổi bật trong quá trình vận hành của KGB RAT là việc tận dụng Telegram Bot API để gửi thông báo lây nhiễm. Do đó, các trung tâm điều hành an ninh mạng (SOC) được khuyến cáo thiết lập quy tắc giám sát các kết nối hướng ra ngoài (outbound) từ những tiến trình không phải trình duyệt tới địa chỉ api.telegram.org.

Để bảo vệ hệ thống trước mối đe dọa này, các tổ chức cần triển khai mô hình bảo mật Zero Trust, kiểm soát chặt chẽ phần mềm cài đặt và định kỳ kiểm tra các tác vụ nền. Khi phát hiện dấu hiệu lây nhiễm, cần lập tức cô lập thiết bị, lưu giữ bản ghi nhật ký phục vụ công tác điều tra trước khi thay đổi toàn bộ thông tin đăng nhập.