Remus Stealer wirbt mit einer Funktion für 1.000 US-Dollar pro Monat, die Kriminellen angeblich erlaubt, kompromittierte Gmail-Postfächer auch nach Passwortwechseln und dem Widerruf von Sitzungen weiter zu lesen. Security Affairs berichtete am 11. November, dass das Cybersicherheitsunternehmen Hudson Rock das Angebot geprüft habe; die behauptete Persistenz sei jedoch nicht verifiziert. Für Opfer einer Infektion ist vor allem der fortgesetzte Zugriff auf E-Mails relevant, die zur Wiederherstellung anderer Konten dienen.
Angreifer müssen zuerst den Computer des Opfers infizieren und das Postfach kompromittieren, bevor sie die Funktion nutzen können. Remus ist ein Infostealer – also Schadsoftware, die Daten von infizierten Computern sammelt –, und der beworbene Postfach-Reader ist in ein Dashboard mit gestohlenen Gerätedaten eingebettet. Die Bezeichnung „Enterprise“ beschreibt eine Abostufe und legt nicht fest, welche Organisationen oder Personen ins Visier genommen wurden.
Was die Belege stützen
Security Affairs zufolge sprach Hudson Rock mit dem Entwickler und einem Kunden, der angab, die Funktion zu nutzen. Der Kunde stellte Screenshots bereit, die Nachrichten, Zeitstempel und eine Steuerung zur Freigabe des Postfachzugriffs für andere Operatoren zeigen. Der Entwickler behauptet, der Zugriff bleibe bestehen, auch nach Passwortwechseln, dem Schließen des Browsers und dem Widerruf von Sitzungen – also den Berechtigungen, mit denen Nutzer angemeldet bleiben.
Die Ankündigung zu Version 1.3.9 wirbt damit, E-Mail-Bestätigungscodes abzufangen, ohne Browser-Cookie-Dateien zu sammeln, die häufig Anmeldeinformationen enthalten. Außerdem werden teilbare Postfach-Links beworben. Diese Links sollen einem anderen Operator Zugriff auf ein Postfach verschaffen, das bereits über den Dienst erbeutet wurde; aus dem Material geht nicht hervor, dass jemand durch das Öffnen eines solchen Links infiziert wird.
Die Postfach-Funktion wird nur in der Enterprise-Stufe beworben, für 1.000 US-Dollar pro Monat. Security Affairs nennt außerdem Basic für 250 US-Dollar und Pro für 500 US-Dollar für das Malware-as-a-Service-Angebot, bei dem Kunden dafür bezahlen, die kriminelle Software zu nutzen.
Der Zugriff auf eingehende Nachrichten könnte den Schaden über Gmail hinaus ausweiten. Wer etwa einen Link zum Zurücksetzen des Passworts oder einen Bestätigungscode lesen kann, könnte damit die Übernahme eines anderen Kontos versuchen, das mit dieser Adresse verknüpft ist.
Wie die Persistenz funktionieren könnte
Der Entwickler sagt, Remus greife auf den Browserspeicher zu, hat aber keinen technischen Mechanismus offengelegt. Die von Hudson Rock vorgeschlagene Erklärung lautet, dass die Software ein Autorisierungs-Token – also eine Berechtigung, die Zugriff gewährt – erlangt oder erzeugt, während das Opfer bei Gmail angemeldet ist. Eine Komponente auf einem Remote-Server könnte dann E-Mails lesen, nachdem die Schadsoftware nicht mehr läuft, solange Google diese Autorisierung akzeptiert.
Das bleibt eine Hypothese. Security Affairs verweist auf CyberInsider, wonach Hudson Rock weder eine Persistenz nach einem Passwortwechsel bestätigt noch eine Ausnutzung einer Gmail-Schwachstelle nachgewiesen hat. Ein kontrollierter Test, der Zugriff auf neu eingehende Nachrichten nach Passwortwechseln, dem Widerruf von Sitzungen und dem Entfernen von Drittanbieter-Zugriffen belegt, wurde nicht durchgeführt. Cybernews berichtete, der Entwickler bezeichne die Funktion als Gmail-„Zero-Day“, also als bisher unbekannte Sicherheitslücke; diese Behauptung wurde jedoch nicht unabhängig reproduziert.
Tom’s Guide berichtete zudem von einer behaupteten Fähigkeit, Googles Betrugsprüfungen zu umgehen, und erklärte, man habe Google um eine Stellungnahme gebeten. Die Erwartung zusätzlicher Google-Schutzmaßnahmen hängt davon ab, ob sich das Werkzeug als wirksam erweist.
Es gibt einen relevanten Vorläufer: Ende 2023 stieß ein Entwickler namens PRISMA auf einen Exploit, der persistente Google-Cookies mithilfe eines Paars aus Token und Konto-ID neu erzeugte. Lumma nutzte diesen danach, um den Zugriff nach Passwortzurücksetzungen zu behalten. Diese Geschichte klärt jedoch nicht, wie Remus funktioniert.
Die Wiederherstellung beginnt am infizierten Computer
Hudson Rock hält einen Passwortwechsel bei Google weiterhin für unerlässlich. Die Empfehlung lautet, den infizierten Computer zuerst vom Netz zu trennen und zu bereinigen und die betroffenen Passwörter dann von einem sauberen Gerät aus zu ändern, bevor man zu vertrauenswürdigen Konten zurückkehrt.
Nutzer sollten angemeldete Geräte prüfen, verdächtige Sitzungen und Drittanbieter-Zugriffe entfernen und die Gmail-Einstellungen auf nicht autorisierte Änderungen kontrollieren. Der Bericht rät außerdem, Antivirensoftware aktuell zu halten, und warnt vor Phishing-Nachrichten mit dringenden Forderungen, Rechtschreibfehlern oder verdächtigen Absenderadressen. Wessen Postfach kompromittiert wurde, sollte zudem alle anderen Konten absichern, die es zum Zurücksetzen von Passwörtern oder für Bestätigungscodes nutzen.
