Remus Stealer anuncia una función de 1000 dólares al mes que, según afirma, permite a los delincuentes seguir leyendo buzones de Gmail comprometidos después de cambiar las contraseñas y revocar las sesiones. Security Affairs informó el 11 de noviembre de que la empresa de ciberseguridad Hudson Rock analizó la oferta, pero la persistencia que se atribuye no está verificada. Para las víctimas de un equipo infectado, la preocupación práctica es que siga habiendo acceso al correo que se usa para recuperar otras cuentas.
Los atacantes primero deben infectar el equipo de la víctima y comprometer el buzón antes de usar la función. Remus es un infostealer, es decir, un malware que recopila datos de los equipos infectados, y su lector de buzones anunciado forma parte de un panel con registros de dispositivos robados. La etiqueta «Enterprise» describe un nivel de suscripción y no establece qué organizaciones o personas han sido objetivo.
Qué respalda la evidencia
Security Affairs explica que Hudson Rock habló con el desarrollador y con un cliente que dijo usar la función. El cliente proporcionó capturas de pantalla con mensajes, marcas de tiempo y un control para compartir el acceso al buzón con otros operadores. El desarrollador afirma que el acceso sobrevive a los cambios de contraseña, al cierre del navegador y a la revocación de sesiones, es decir, a las autorizaciones que mantienen iniciada la sesión de los usuarios.
El anuncio de la versión 1.3.9 promociona la interceptación de códigos de verificación de correo electrónico sin recopilar archivos de cookies del navegador, que suelen contener información de inicio de sesión. También promociona enlaces de buzón compartibles. Supuestamente, esos enlaces dan a otro operador acceso a una bandeja de entrada ya obtenida mediante el servicio; el material no muestra que alguien se infecte al abrir uno.
La función de buzón solo se anuncia en el nivel Enterprise, con un precio de 1000 dólares al mes. Security Affairs también menciona los niveles Basic, a 250 dólares, y Pro, a 500 dólares, para este malware como servicio, en el que los clientes pagan por usar el software criminal.
El acceso a los mensajes entrantes podría ampliar el daño más allá de Gmail. Por ejemplo, un atacante que pueda leer un enlace de restablecimiento de contraseña o un código de verificación podría usarlo para tomar el control de otra cuenta vinculada a esa dirección.
Cómo podría funcionar la persistencia
El desarrollador dice que Remus interactúa con la memoria del navegador, pero no ha revelado ningún mecanismo técnico. La explicación propuesta por Hudson Rock es que obtiene o crea un token de autorización (una credencial que permite el acceso) mientras la víctima tiene la sesión iniciada en Gmail. Un componente remoto podría leer el correo después de que el malware deje de ejecutarse, mientras Google acepte esa autorización.
Sigue siendo una hipótesis. Security Affairs cita a CyberInsider, según el cual Hudson Rock no ha confirmado la persistencia tras un cambio de contraseña ni ha establecido la explotación de una vulnerabilidad de Gmail. Tampoco se ha realizado una prueba controlada que demuestre el acceso a correos recién recibidos tras cambiar contraseñas, revocar sesiones y eliminar el acceso de terceros. Cybernews informó de que el desarrollador denomina la función un «zero-day» de Gmail, es decir, una vulnerabilidad desconocida previamente, pero esa afirmación no ha sido reproducida de forma independiente.
Tom’s Guide también informó de una supuesta capacidad para eludir los controles antifraude de Google y afirmó que había contactado con Google para obtener una respuesta. Su previsión de que Google añada protecciones adicionales depende de que la herramienta demuestre ser eficaz.
Existe un precedente relevante: a finales de 2023, un desarrollador llamado PRISMA dio a conocer un exploit que regeneraba cookies persistentes de Google usando un par de token e ID de cuenta, que Lumma utilizó después para conservar el acceso tras restablecer contraseñas. Ese antecedente no establece cómo funciona Remus.
La recuperación empieza por el equipo infectado
Hudson Rock sigue considerando imprescindible cambiar la contraseña de Google. Recomienda que las víctimas desconecten y limpien primero el equipo infectado, y que después cambien las contraseñas comprometidas desde un dispositivo limpio, antes de volver a las cuentas de confianza.
Los usuarios deben revisar los dispositivos con sesión iniciada, eliminar las sesiones sospechosas y los accesos de terceros, y comprobar la configuración de Gmail por si hay cambios no autorizados. El informe también aconseja mantener actualizado el antivirus y vigilar los mensajes de phishing con exigencias urgentes, errores ortográficos o direcciones de remitente sospechosas. Quien haya visto comprometido su buzón también debe proteger otras cuentas que lo usen para restablecer contraseñas o recibir códigos de verificación.
