Разработчик Remus Stealer обещает доступ к Gmail даже после смены пароля

Разработчик Remus Stealer продаёт за $1000 в месяц функцию, которая якобы сохраняет доступ к Gmail после смены пароля и завершения активных сеансов. Независимого подтверждения этих заявлений пока нет. Если они верны, злоумышленники смогут читать ссылки для сброса пароля и коды подтверждения и получать доступ к другим аккаунтам, привязанным к этому адресу.

Для использования функции сначала нужно заразить компьютер жертвы и скомпрометировать её почту, сообщает SecurityAffairs.

Remus Stealer — вредоносная программа для кражи данных. По заявлению разработчика, она позволяет читать почту и искать письма прямо в панели с данными заражённых устройств. Он также обещает возможность передавать другим злоумышленникам доступ к уже захваченному ящику через специальные ссылки. Из представленных материалов не следует, что открытие такой ссылки заражает компьютер.

Разработчик говорит, что функция взаимодействует с памятью браузера без сбора файлов куки, но технических подробностей не раскрывает. Как именно она может сохранять доступ после смены пароля или завершения сеансов, неизвестно.

Исследователи из Hudson Rock получили от покупателя снимки экрана с письмами, но не проводили контролируемого теста, который подтвердил бы чтение новых писем после смены пароля, завершения сеансов и отзыва доступа сторонних приложений. Наличие уязвимости Gmail тоже не установлено.

Несмотря на заявления разработчика, в Hudson Rock по-прежнему считают смену пароля Google необходимым шагом для восстановления доступа. Исследователи советуют:

• Сначала отключить заражённый компьютер от сети и очистить его от вредоносного ПО.
• Сменить скомпрометированные пароли с чистого устройства.
• Завершить подозрительные сеансы и отозвать доступ сторонних приложений.
• Проверить, не изменили ли злоумышленники настройки Gmail, и защитить другие аккаунты, к которым привязан этот ящик для сброса пароля или получения кодов подтверждения.