Za razliku od legitimnih alata za daljinski pristup poput TeamViewera ili AnyDeska, RAT-ovi se instaliraju bez znanja i pristanka korisnika te djeluju potajno u pozadini sustava.
Kibernetička sigurnost u Hrvatskoj i svijetu nikada nije bila pod većim pritiskom.
Prema najnovijem izvješću tvrtke Cofense za 2025. godinu, njihov Phishing Defense Center zabilježio je u prosjeku jedan zlonamjerni e-mail svakih 19 sekundi.
Radi se o dramatičnom skoku u odnosu na 2024. godinu, kada je taj prosjek iznosio jedan e-mail svakih 42 sekunde.
Cofense je također izvijestio o 105-postotnom godišnjem porastu detekcija legitimnih i zlonamjernih alata za daljinski pristup (RAT) u 2025. godini.
U tom eksplozivnom okruženju rastućih prijetnji, jedan alat posebno zabrinjava stručnjake za cyber sigurnost: KGB RAT.
Istraživači tvrtke Group-IB objavili su 14. listopada 2026. godine opsežnu tehničku analizu ovog Windows trojanca za daljinski pristup koji se aktivno promovira na podzemnim hakerskim forumima od barem kraja 2025. godine.
Od usporedivih RAT obitelji razlikuje ga ne samo tehnička širina, nego i posvećen skup funkcija za psihološko uznemiravanje, uključujući screamer funkcije, jump scare efekte i prisilne plave ekrane smrti.
Što je KGB RAT?
KGB RAT prvi se put pojavio u javno dostupnim izvješćima o kibernetičkoj sigurnosti u rujnu 2025. godine, kada je rano upozorenje o proboju označilo taj alat kao novouočenu prijetnju.
No povijest razvoja seže znatno dalje. Group-IB je pronašao tragove rane serverske infrastrukture označene kao verzija 0.1 koji datiraju od kasnog siječnja 2022. godine, što upućuje na to da je razvijatelj godinama gradio i testirao ovaj zlonamjerni softver prije nego što ga je ponudio na tržištu.
Statička analiza otkrila je sličnosti s NjRAT 0.7D Lime Edition.
Time se sugerira da KGB RAT prepakira mogućnosti iz uspostavljene obitelji robusnog zlonamjernog softvera, a ne da predstavlja potpuno novu platformu.
Unatoč tome, komercijalni paket koji ga okružuje čini ga posebno opasnim jer snižava tehničku prepreku za ulazak u svijet kibernetičkog kriminala.
Malware-as-a-Service model
Alat se prodaje kao Malware-as-a-Service (MaaS) ponuda s besplatnim i plaćenim razinama, a prema tvrdnjama njegovih razvijatelja ažurira se na dnevnoj bazi.
Prodaje se putem MaaS modela s cijenama od 150 do 800 dolara, a uključuje krađu pristupnih podataka, keylogging, skriveno preuzimanje radne površine, mogućnosti ransomwarea i funkcije psihološkog uznemiravanja uključujući screamere i prisilne plave ekrane.
Pretplate počinju od 150 dolara mjesečno i sežu do 800 dolara godišnje, pri čemu godišnja pretplata efektivno iznosi oko 67 dolara mjesečno.
Zašto ime „KGB”?
Ime je odabrano kako bi evociralo tajnovitost, nadzor i moć. obilježja koja su bila sinonim za sovjetsku obavještajnu službu KGB (Komitet gosudarstvennoj bezopasnosti).
Baš poput te organizacije, KGB RAT specijaliziran je za tajni nadzor, prikupljanje obavještajnih podataka i održavanje trajne prisutnosti u ciljnom okruženju.
Tko su ciljane žrtve?
KGB RAT ne diskriminira, napada širok spektar ciljeva.
Najčešće žrtve uključuju male i srednje tvrtke koje nemaju napredna sigurnosna rješenja, pojedince koji koriste zastarjeli softver, korporativne zaposlenike koji rade od kuće s nedovoljno zaštićenim mrežama.
Zatim, financijske institucije u kojima napadači ciljaju pristupne podatke za bankarske sustave te vladine organizacije u kontekstu kibernetičke špijunaže.
RST Cloud je još u prosincu 2025. upozorio da se KGB RAT na podzemnim forumima promovira s posebnim naglaskom na financijski sektor i e-trgovinu kao primarne mete.
Tehničke mogućnosti KGB RAT-a
KGB RAT je modularan alat čije se mogućnosti mogu podijeliti u četiri ključne kategorije: nadzor, krađa podataka, daljinsko upravljanje te prikrivanje i ustrajnost u sustavu.
Mogućnosti nadzora
KGB RAT sadrži napredni modul za bilježenje svake tipke koju korisnik pritisne na tipkovnici.
Zlonamjerni softver bilježi unos s tipkovnice koristeći Windows funkciju GetAsyncKeyState. Radi se o metodi ispitivanja koja provjerava pojedinačne tipke ponavljano, omogućujući napadaču hvatanje upisanih informacija.
Trojanac može u unaprijed definiranim intervalima ili na zahtjev izraditi snimke zaslona zaraženog računala.
Snimanje zaslona i praćenje međuspremnika pružaju dodatne kanale prikupljanja podataka izvan pristupnih podataka koji su već spremljeni na uređaju.
Zlonamjerni softver također podržava nadzor putem web-kamere, skriveni pristup radnoj površini i funkcije uznemiravanja žrtava, dok prodavači reklamiraju mogućnosti ransomwarea i opcionalnu nadogradnju za mrežno širenje.
Funkcije krađe podataka
KGB RAT je trojanac za daljinski pristup koji cilja pohranjene pristupne podatke, a aktivnost prikupljanja pristupnih podataka uključuje pristup podatcima iz Windows vault datoteka povezanih s lozinkama preglednika, pristupnim podatcima za udaljenu radnu površinu (RDP) i tokenima Microsoft računa.
Istraživači su primijetili da zlonamjerni softver sustavno istražuje direktorije Windows Credential Manager vault-a, pristupajući datoteci Policy.vpol koja sadrži informacije o politici šifriranja vault-a, te čitajući datoteku Latest.dat unutar direktorija UserProfileRoaming.
Posebno je sofisticirana mogućnost izvlačenja spremljenih lozinki, kolačića (cookies), podataka za automatsko popunjavanje obrazaca i povijesti pregledavanja iz svih popularnih web-preglednika.
Trojanac pristupa šifriranim bazama podataka preglednika i koristi Windows DPAPI (Data Protection API) za dešifriranje pohranjenih pristupnih podataka.
Testiranje je potvrdilo keylogging, pristup Windows Credential Manageru, izviđanje hosta i lokacije te otimanje kriptovalutnog međuspremnika u jednom uzorku.
Ova posljednja funkcija (CryptoClipper) zamjenjuje adrese kriptovalutnih novčanika koje korisnik kopira u međuspremnik adresama napadačevog novčanika, čime se financijska sredstva preusmjeravaju izravno napadaču.
Mogućnosti daljinskog upravljanja
KGB RAT je u praksi potpuni paket zlonamjernog softvera koji napadačima daje tihu i trajnu kontrolu nad zaraženim Windows računalima.
Napadač može u stvarnom vremenu vidjeti zaslon žrtve i upravljati mišem i tipkovnicom, efektivno pretvarajući zaraženo računalo u vlastitu radnu stanicu.
Potpuni upravitelj datoteka omogućuje napadaču navigaciju kroz datotečni sustav, stvaranje, preimenovanje, premještanje i brisanje mapa i datoteka te pokretanje izvršnih programa.
Psihološko uznemiravanje
Ono što KGB RAT čini jedinstveno zastrašujućim jest skup funkcija koje njegovi razvijatelji cinično nazivaju „fun settings” (zabavne postavke).
Te „zabavne postavke”, kako ih sami razvijatelji opisuju, signaliziraju profil prijetnje koji je spreman koristiti anksioznost žrtve uz krađu podataka.
Razina produktizacije i namjerno uključivanje taktika zastrašivanja daleko nadilaze tradicionalne ciljeve kibernetičkog kriminala.
Operateri koji stoje iza ovog alata u osnovi su stvorili platformu za uznemiravanje i iznudu koja je prerušena u legitimnu aplikaciju za nadzor.
KGB RAT inficira sustav
Lanac infekcije
KGB RAT nije zlonamjerni softver koji iskorištava objavljenu CVE ranjivost. Radi se o operativnom alatu za kibernetički kriminal koji prvo mora biti isporučen i izvršen na Windows uređaju, potencijalno putem phishinga, zlonamjernih preuzimanja ili drugog pristupnog puta koji odabere kupac.
Builder može navodno kreirati nekoliko formata Windows tereta, uključujući EXE, BAT, HTA i REG datoteke, čime operaterima daje opcije za različite kampanje isporuke.
Tipičan proces infekcije odvija se u nekoliko faza.
Žrtva otvara zlonamjerni privitak ili posjećuje kompromitiranu web-stranicu.
Mali inicijalni program (dropper ili loader) preuzima se i izvršava. Dropper uspostavlja vezu s C2 serverom i preuzima glavni teret KGB RAT-a.
Mehanizmi ustrajnosti
Tijekom opaženog izvršavanja, početni uzorak kopirao se i ponovno pokrenuo kao svchost.exe unutar korisničkog privremenog direktorija.
Instalirana kopija stvorila je zakazani zadatak nazvan ChromeUpdate, konfiguriran za izvršavanje pri prijavi s traženjem najviše dostupne razine privilegija.
Platforma je označila četiri čvora kao sumnjive (cmd.exe, powershell.exe, reg.exe i schtasks.exe) sve izvorne Windows binarne datoteke koje se zloupotrebljavaju kao dio post-instalacijske rutine zlonamjernog softvera, što je školski primjer Living off the Land izvršavanja.
Druge opcije ustrajnosti uključuju unose u registar Run i prečace u Startup mapi. Instalirana kopija promijenila je postavke Explorera kako bi sakrila zaštićene datoteke i koristila PowerShell za osvježavanje otvorenih prozora Explorera. Istraživači su također primijetili promjene namijenjene potiskivanju sigurnosnih provjera Windows privitaka.
Tehnike izbjegavanja detekcije
Izbjegavanje KGB RAT-a proteže se izvan samog pakiranja. Istraživači su dokumentirali provjere virtualnih strojeva, detekciju alata za analizu, runtime deobfuskaciju i odgođeno izvršavanje. Jedan analizirani proces pozvao je pauzu od 600 sekundi, potencijalno nadmašujući kratke prozore promatranja sandbox okruženja.
Druge provjere ispitivale su hardverske karakteristike, pisače, USB povijest i korisničku aktivnost radi identificiranja umjetnih okruženja.
Zlonamjerni softver koristi obfuskaciju, dnevno ažurirane kriptere i detekciju sandboxa za izbjegavanje sigurnosnih mjera. Koristi Telegram bot za obavijesti o infekciji i ip-api.com za praćenje lokacije.
Zašto se smatra „nedetektabilnim”
KGB RAT djeluje s MaaS distribucijskim modelom, a kripter zlonamjernog softvera prima dnevna ažuriranja kako bi održao svoj FUD (Fully Undetectable) status protiv antivirusnih alata koji se oslanjaju na detekciju temeljenu na potpisima.
Razvijatelji reklamiraju dnevna ažuriranja kriptera, više formata tereta i generator namijenjen proizvodnji različitih stubova za uzastopne buildove.
Podržani izlazni formati navodno uključuju EXE, BAT, HTA i REG. Oglasi također tvrde trajno onemogućavanje Windows Defendera i zaobilaženje antivirusa, ali te bi tvrdnje trebale ostati odvojene od neovisno promatranog ponašanja pri izvršavanju.
Ovdje je ključna napomena za cyber sigurnost zajednicu: prodavači tvrde da njihov kripter može zaobići ili onemogućiti Windows Defender, ali pouzdano izbjegavanje kroz sve buildove i sustave nije potvrđeno; Group-IB je detektirao uzorke putem bihevioralne analize. Drugim riječima, „potpuno nedetektabilan” ostaje prodajna tvrdnja, ne potvrđena činjenica.
Tradicionalna antivirusna rješenja
Tradicionalni antivirusni programi uglavnom se oslanjaju na potpise poznatih prijetnji i osnovnu heurističku analizu.
Protiv naprednih FUD prijetnji poput KGB RAT-a, te metode pokazuju značajna ograničenja. Polimorfne tehnike koje KGB RAT koristi omogućuju promjenu vlastite binarne strukture pri svakoj infekciji, čineći potpise neučinkovitima.
Prema najnovijem Cofense izvješću, 76 posto početnih URL-ova za infekciju identificiranih u phishing napadima bili su jedinstveni i nisu se pojavili ni u jednoj drugoj kampanji unutar korisničke baze.
Također, 82 posto zlonamjernih datoteka imalo je jedinstvene hasheve, što tradicionalno podudaranje uzoraka ne može detektirati.
Globalni financijski gubici
IBM-ov izvještaj Cost of a Data Breach za 2025. godinu, objavljen 30. srpnja 2025., postavio je globalni prosječni trošak povrede podataka na 4,44 milijuna dolara.
, što je pad od 9 posto s 4,88 milijuna dolara i prvi pad u pet godina.
Prosječni trošak povrede podataka za američke tvrtke skočio je 9 posto na rekordnih 10,22 milijuna dolara u 2025. godini.
Zdravstveni sektor ostaje najskuplji za 15. godinu zaredom, s prosječnim troškom povrede od 7,42 milijuna dolara, dok je phishing bio najčešći vektor napada, uključen u 16 posto povreda.
RAT napadi poput onih koje provodi KGB RAT mogu rezultirati dugotrajnom eksfiltraciju podataka koja se proteže tjednima ili mjesecima prije nego što bude otkrivena.
Ukradeni pristupni podatci mogu omogućiti preuzimanje računa, neovlašteni daljinski pristup, bočno kretanje kroz korporativne mreže i daljnju kompromitaciju usluga u oblaku.
RAT prijetnje u porastu
Prema izvješću ANY.RUN-a za 2025. godinu, kradljivci podataka i RAT-ovi održavaju dominaciju, s trostrukim porastom aktivnosti u usporedbi s 2024. godinom.
RAT kategorija zabilježila je 72.114 detekcija u 2025. godini, čime se pozicionirala kao druga najčešća kategorija zlonamjernog softvera, odmah iza kradljivaca podataka.
Na desktop platformi, trojanaci za daljinski pristup (RAT) ostali su postojani s 10,67-postotnim kvartalom-na-kvartal porastom omjera rizika u trećem kvartalu 2025. godine.
Mandiant izvješćuje da su backdoorovi prisutni u otprilike 35 posto obitelji zlonamjernog softvera pronađenih u istražnim slučajevima u 2024. godini.
Hrvatska cyber sigurnost
Kibernetička sigurnost Hrvatska dobiva sve veći značaj u nacionalnim i europskim okvirima.
Prema izvješću Europske komisije za 2025. godinu, Republika Hrvatska bilježi značajan napredak u području kibernetičke sigurnosti.
Izvješće ističe kako je jedan od najznačajnijih iskoraka Republike Hrvatske u području kibernetičke sigurnosti pravno usklađivanje s EU standardima.
Hrvatska je među prvim državama članicama u nacionalno zakonodavstvo prenijela i detaljno razradila nacionalnu provedbu NIS2 direktive kroz Zakon o kibernetičkoj sigurnosti i Uredbu o kibernetičkoj sigurnosti.
No unatoč regulatornom napretku, podaci pokazuju da mnoge organizacije i dalje nisu dovoljno pripremljene.
Kibernetičke prijetnje nastavljaju rasti, a prema podatcima za 2025. godinu, proizvodnja čini 27,7 posto zabilježenih kibernetičkih napada u svijetu, a slijede financijski sektor i osiguranje s 27 posto te profesionalne usluge s 9 posto.
Strategije prevencije
Za organizacije
Mrežna segmentacija i Zero Trust arhitektura ograničavaju bočno kretanje napadača unutar mreže. Kritični sustavi trebaju biti izolirani u zasebne mrežne segmente s kontroliranim pristupom.
Napredno filtriranje e-pošte s mogućnošću sandboxinga privitaka može presresti zlonamjerne privitke prije nego što dođu do krajnjeg korisnika.
S obzirom na to da je e-pošta i dalje primarni vektor napada za kibernetički kriminal, s 90 posto povreda podataka koje potječu od phishing napada usmjerenih na zaposlenike, ovaj sloj zaštite je ključan.
EDR rješenja poput CrowdStrike Falcona, Microsoft Defender for Endpointa ili SentinelOnea pružaju naprednu bihevioralnu analizu koja nadilazi mogućnosti tradicionalnih antivirusnih programa.
Primjena principa najmanjeg privilegija (Principle of Least Privilege) osigurava da korisnici imaju samo minimalne pristupne razine potrebne za obavljanje svojih zadataka.
Za pojedinačne korisnike
Korisnici trebaju izbjegavati posjećivanje sumnjivih web-stranica, nikada ne klikati na nepoznate poveznice i koristiti dodatke za preglednike koji blokiraju zlonamjerne skripte.
Nikada ne otvarati privitke iz neočekivanih ili sumnjivih poruka e-pošte.
Softver preuzimajte isključivo iz službenih izvora.
Piratski softver, keygenovi i crackovi među najčešćim su vektorima distribucije RAT zlonamjernog softvera.
Tehničke kontrole
Implementacija politike dopuštenih aplikacija putem Windows AppLockera sprječava izvršavanje neodobrenih programa.
Tradicionalni antivirusni programi više nisu dovoljni, pa koristite rješenja sljedeće generacije (NGAV) koja kombiniraju strojno učenje i bihevioralnu analizu.
Pravilno konfiguriran vatrozid trebao bi ograničiti odlazni promet samo na poznate i odobrene odredišne adrese.
Sustavi poput Snorta ili Suricata mogu prepoznati poznate obrasce komunikacije RAT zlonamjernog softvera.
Uklanjanje i sanacija
Postupak uklanjanja korak po korak
Korak 1: Izolacija zaraženog sustava. Odmah odspojiti zaraženo računalo s mreže — i fizičke (ethernet) i bežične (Wi-Fi) — kako bi se spriječila daljnja eksfiltracija podataka.
Korak 2: Pokretanje u sigurnom načinu rada. Ponovno pokrenuti računalo u sigurnom načinu rada s podrškom za umrežavanje kako bi se ograničilo automatsko pokretanje KGB RAT-a.
Korak 3: Skeniranje specijaliziranim alatima. Pokrenuti skeniranje korištenjem Malwarebytes Anti-Malware za dubinsko skeniranje, Kaspersky Virus Removal Tool ili ESET Online Scanner kao sekundarnu provjeru te RogueKiller ili Zemana AntiMalware za detekciju rootkit komponenti.
Korak 4: Ručna provjera. Provjeriti zakazane zadatke (Task Scheduler) za sumnjive unose — posebno za ChromeUpdate zadatak. Pregledati registar za neovlaštene zapise.
Pregledati direktorije %TEMP%, %APPDATA% i %LOCALAPPDATA% za sumnjive datoteke, posebno za svchost.exe izvan standardnog System32 direktorija. Pokrenuti Sysinternals Autoruns za pregled svih točaka automatskog pokretanja.
Korak 5: Vraćanje sustava. Razmotriti korištenje točke vraćanja sustava stvorene prije pretpostavljenog datuma infekcije.
Mjere nakon uklanjanja
Sve pristupne podatke smatrati kompromitiranim i promijeniti ih s čistog, nezaraženog uređaja.
Omogućiti višefaktorsku autentifikaciju (MFA) na svim kritičnim računima. Pregledati bankovne izvode i transakcije u potrazi za neovlaštenim aktivnostima.
Posebnu pozornost posvetiti kriptovalutnim novčanicima s obzirom na CryptoClipper mogućnost KGB RAT-a. Ako je riječ o organizaciji, obavijestiti IT sigurnosni tim, upravu i regulatorna tijela sukladno Zakonu o kibernetičkoj sigurnosti.
Pravna i etička razmatranja
Razvoj, distribucija i korištenje RAT zlonamjernog softvera poput KGB RAT-a u svrhu neovlaštenog pristupa računalnim sustavima kazneno je djelo prema zakonodavstvima gotovo svih zemalja svijeta.
U Republici Hrvatskoj regulirano je Kaznenim zakonom, a na razini Europske unije primjenjuje se Direktiva o napadima na informacijske sustave (2013/40/EU).
Kazne uključuju višegodišnje zatvorske kazne i značajne novčane globe.
U okolnostima sve složenijih prijetnji i rastućih regulatornih zahtjeva, kibernetička sigurnost više nije samo tehničko pitanje, već pitanje upravljanja rizicima, kontinuiteta poslovanja i odgovornosti uprave.
Anonimnost koju pružaju darknet tržišta, kriptovalutna plaćanja i višestruki slojevi proksiranja čine identifikaciju i kazneni progon autora i korisnika RAT-ova izuzetno zahtjevnim.
Međunarodna suradnja putem Europola, Interpola i bilateralnih sporazuma ključna je za suzbijanje ove vrste kibernetičkog kriminala.
Zaključak
KGB RAT predstavlja ozbiljnu i sofisticiranu prijetnju u suvremenom kibernetičkom krajoliku.
Krajolik kibernetičke sigurnosti u kasnoj 2026. godini svjedoči pojavi uznemirujuće nove kategorije zlonamjernog softvera koja spaja tehničku sofisticiranost s namjernim psihološkim zlostavljanjem.
Tradicionalni antivirusni programi više nisu dovoljni, pa koristite rješenja sljedeće generacije (NGAV) koja kombiniraju strojno učenje i bihevioralnu analizu.
Rezultati istraživanja pokazuju da svijest o važnosti kibernetičke sigurnosti raste, ali i da su mnoge organizacije još uvijek u ranoj fazi operativne zrelosti. To vrijedi jednako za Hrvatsku kao i za ostatak svijeta.
Učinkovita zaštita podataka u Hrvatskoj i širom regije od KGB RAT-a i sličnih prijetnji zahtijeva strategiju dubinske obrane koja kombinira tehničke kontrole, edukaciju korisnika i proaktivno praćenje prijetnji.
Nijedan pojedinačni sigurnosni alat nije dovoljan.
Samo kombinacija naprednih EDR rješenja, mrežne segmentacije, strogih politika pristupa, redovitog ažuriranja i informirane korisničke baze može pružiti adekvatnu zaštitu.
Pozivamo sve čitatelje da iskoriste informacije iz ovog članka za procjenu vlastite sigurnosne posture.
Pregledajte svoje sigurnosne sustave, ažurirajte obrambene mehanizme i educirajte svoje kolege i zaposlenike.
