Remus Stealer pubblicizza una funzione da 1.000 dollari al mese che, secondo quanto dichiarato, permette ai criminali di continuare a leggere le caselle Gmail compromesse dopo il cambio delle password e la revoca delle sessioni. Security Affairs ha riferito l'11 novembre che la società di cybersecurity Hudson Rock ha esaminato l'offerta, ma la persistenza dichiarata non è stata verificata. Per le vittime di un computer infetto, il problema concreto è l'accesso continuato alla posta usata per recuperare altri account.
Prima di usare la funzione, gli attaccanti devono infettare il computer della vittima e compromettere la casella di posta. Remus è un infostealer, cioè un malware che raccoglie dati dai computer infetti, e il lettore di posta pubblicizzato si trova all'interno di una dashboard con i dati dei dispositivi rubati. L'etichetta «Enterprise» indica un livello di abbonamento e non stabilisce quali organizzazioni o persone siano state prese di mira.
Cosa supportano le prove
Secondo Security Affairs, Hudson Rock ha parlato con lo sviluppatore e con un cliente che dichiara di aver usato la funzione. Il cliente ha fornito screenshot che mostrano messaggi, orari e un controllo per condividere l'accesso alla casella con altri operatori. Lo sviluppatore sostiene che l'accesso sopravviva ai cambi di password, alla chiusura del browser e alla revoca delle sessioni, cioè alle autorizzazioni che mantengono l'utente connesso.
L'annuncio della versione 1.3.9 promette l'intercettazione dei codici di verifica via email senza raccogliere i file dei cookie del browser, che di solito contengono informazioni di accesso. Pubblicizza anche link condivisibili alla casella di posta. Secondo quanto riportato, questi link darebbero a un altro operatore accesso a una casella già acquisita tramite il servizio. Il materiale non mostra che qualcuno venga infettato aprendone uno.
La funzione per la casella di posta è pubblicizzata solo nel livello Enterprise, al prezzo di 1.000 dollari al mese. Security Affairs elenca anche i livelli Basic a 250 dollari e Pro a 500 dollari per il servizio malware-as-a-service, in cui i clienti pagano per usare il software criminale.
L'accesso ai messaggi in arrivo potrebbe estendere il danno oltre Gmail. Ad esempio, un attaccante che legge un link di reimpostazione della password o un codice di verifica potrebbe usarlo per prendere il controllo di un altro account collegato a quell'indirizzo.
Come potrebbe funzionare la persistenza
Lo sviluppatore afferma che Remus interagisce con la memoria del browser, ma non ha rivelato alcun meccanismo tecnico. La spiegazione proposta da Hudson Rock è che il malware ottenga o crei un token di autorizzazione, cioè una credenziale che consente l'accesso, mentre la vittima è connessa a Gmail. Un componente remoto potrebbe poi leggere la posta dopo che il malware ha smesso di girare, per tutto il tempo in cui Google accetta quell'autorizzazione.
Resta un'ipotesi. Security Affairs cita CyberInsider, secondo cui Hudson Rock non ha confermato la persistenza dopo un cambio di password né accertato lo sfruttamento di una vulnerabilità di Gmail. Non è stato ancora condotto un test controllato che dimostri l'accesso alla posta appena ricevuta dopo cambi di password, revoca delle sessioni e rimozione degli accessi di terze parti. Cybernews riferisce che lo sviluppatore definisce la funzione uno «zero-day» di Gmail, cioè una vulnerabilità precedentemente sconosciuta, ma tale affermazione non è stata riprodotta in modo indipendente.
Anche Tom's Guide ha riportato la presunta capacità di aggirare i controlli antifrode di Google e ha dichiarato di aver contattato Google per un commento. La sua previsione di ulteriori protezioni da parte di Google dipende dal fatto che lo strumento si dimostri efficace.
Esiste un precedente rilevante: alla fine del 2023 uno sviluppatore chiamato PRISMA ha reso pubblico un exploit che rigenerava cookie Google persistenti usando una coppia di token e ID account. Lumma ha successivamente usato questo exploit per mantenere l'accesso dopo i reset delle password. Questa storia non chiarisce come funzioni Remus.
Il recupero parte dal computer infetto
Hudson Rock considera ancora indispensabile cambiare la password di Google per il recupero. Raccomanda alle vittime di scollegare e ripulire per prima cosa il computer infetto, poi di cambiare le password compromesse da un dispositivo pulito, prima di tornare ad accedere agli account di fiducia.
Gli utenti dovrebbero controllare i dispositivi con accesso attivo, rimuovere le sessioni sospette e gli accessi di terze parti, e verificare nelle impostazioni di Gmail eventuali modifiche non autorizzate. Il rapporto consiglia inoltre di tenere aggiornato l'antivirus e di prestare attenzione ai messaggi di phishing con richieste urgenti, errori di ortografia o indirizzi del mittente sospetti. Chi ha subito la compromissione della propria casella dovrebbe anche proteggere gli altri account che la usano per i reset delle password o per i codici di verifica.
