Remus fait la promotion d'une fonctionnalité facturée 1 000 dollars par mois, qui permettrait prétendument aux criminels de continuer à lire des boîtes Gmail compromises après des changements de mot de passe et la révocation des sessions. Security Affairs a rapporté le 11 novembre que la société de cybersécurité Hudson Rock a examiné l'offre, mais la persistance revendiquée reste non vérifiée. Pour les victimes d'un ordinateur infecté, la préoccupation concrète est que l'accès à la messagerie, utilisée pour récupérer d'autres comptes, se prolonge.
Les attaquants doivent d'abord infecter l'ordinateur de la victime et compromettre la boîte mail avant d'utiliser cette fonctionnalité. Remus est un infostealer — un logiciel malveillant qui collecte des données sur les ordinateurs infectés — et son lecteur de boîte mail intégré fonctionne dans un tableau de bord contenant des données d'appareils volés. Son libellé « Enterprise » désigne un niveau d'abonnement, et non les organisations ou personnes ciblées.
Ce qu'étayent les éléments disponibles
Security Affairs indique que Hudson Rock a échangé avec le développeur et avec un client ayant déclaré utiliser la fonctionnalité. Ce client a fourni des captures d'écran montrant des messages, des horodatages et une commande permettant de partager l'accès à la boîte avec d'autres opérateurs. Le développeur affirme que l'accès survit aux changements de mot de passe, à la fermeture du navigateur et à la révocation des sessions, c'est-à-dire des autorisations qui maintiennent les utilisateurs connectés.
L'annonce de la version 1.3.9 vante l'interception des codes de vérification par e-mail sans collecte des fichiers de cookies du navigateur, qui contiennent souvent des informations de connexion. Elle met aussi en avant des liens de boîte partageables, qui donneraient prétendument à un autre opérateur l'accès à une boîte déjà obtenue via le service. Le matériel ne montre pas qu'une personne soit infectée en ouvrant l'un de ces liens.
La fonctionnalité de messagerie n'est annoncée que dans le niveau Enterprise, facturé 1 000 dollars par mois. Security Affairs cite aussi les offres Basic à 250 dollars et Pro à 500 dollars pour ce service de logiciel malveillant en location (MaaS), dans lequel les clients paient pour utiliser le logiciel criminel.
L'accès aux messages entrants pourrait étendre les dégâts au-delà de Gmail. Par exemple, un attaquant capable de lire un lien de réinitialisation de mot de passe ou un code de vérification pourrait s'en servir pour prendre le contrôle d'un autre compte lié à cette adresse.
Comment la persistance pourrait fonctionner
Le développeur affirme que Remus interagit avec la mémoire du navigateur, sans avoir divulgué de mécanisme technique. Selon l'explication avancée par Hudson Rock, le logiciel obtiendrait ou créerait un jeton d'autorisation — un identifiant permettant l'accès — pendant que la victime est connectée à Gmail. Un composant distant pourrait alors lire les messages après l'arrêt du logiciel malveillant, tant que Google accepte cette autorisation.
Il ne s'agit encore que d'une hypothèse. Security Affairs cite CyberInsider, selon lequel Hudson Rock n'a confirmé ni la persistance après un changement de mot de passe, ni l'exploitation d'une faille de Gmail. Aucun test contrôlé n'a été mené pour démontrer l'accès aux nouveaux messages après des changements de mot de passe, la révocation des sessions et la suppression des accès tiers. Cybernews rapporte que le développeur qualifie la fonctionnalité de « zero-day » Gmail, c'est-à-dire d'une faille inconnue jusqu'alors, mais cette affirmation n'a pas été reproduite de manière indépendante.
Tom's Guide a aussi rapporté la capacité revendiquée de contourner les contrôles antifraude de Google, et indique avoir contacté Google pour obtenir un commentaire. Son attente de protections supplémentaires de la part de Google dépend de l'efficacité avérée de l'outil.
Un précédent est pertinent : fin 2023, un développeur surnommé PRISMA a fait apparaître un exploit régénérant des cookies Google persistants à partir d'une paire jeton et identifiant de compte, que le logiciel malveillant Lumma a ensuite utilisée pour conserver l'accès après des réinitialisations de mot de passe. Cet historique n'établit pas le fonctionnement de Remus.
La récupération commence par l'ordinateur infecté
Hudson Rock considère toujours le changement du mot de passe Google comme indispensable à la récupération. Le rapport recommande aux victimes de commencer par déconnecter et nettoyer l'ordinateur infecté, puis de modifier les mots de passe compromis depuis un appareil sain, avant de reprendre l'usage de leurs comptes de confiance.
Les utilisateurs doivent vérifier les appareils connectés, supprimer les sessions suspectes et les accès de tiers, et contrôler les paramètres de Gmail pour détecter d'éventuelles modifications non autorisées. Le rapport conseille aussi de maintenir l'antivirus à jour et de rester attentif aux messages d'hameçonnage exigeant une action urgente, comportant des fautes d'orthographe ou provenant d'une adresse d'expéditeur suspecte. Toute personne dont la boîte a été compromise doit également sécuriser les autres comptes qui s'en servent pour réinitialiser les mots de passe ou recevoir des codes de vérification.
