Cambiar la contraseña debería ser parte del proceso de recuperación de una cuenta comprometida. Los desarrolladores de Remus Stealer anuncian una función para leer Gmail que, según afirman, resiste este paso e incluso la revocación de la sesión.
Se trata de una afirmación seria. Sin embargo, no es una capacidad demostrada en la investigación publicada. La empresa de inteligencia de amenazas Hudson Rock examinó el material promocional de Remus e interrogó tanto a su desarrollador como a un supuesto cliente. Su conclusión es más cautelosa que la publicidad: el material muestra una interfaz para leer el buzón de correo, pero no demuestra que Remus pueda recuperar mensajes nuevos después de que una cuenta haya sido protegida por completo. Tampoco demuestra una vulnerabilidad de día cero en Gmail.
Lo que Remus está anunciando
Según Hudson Rock, el anuncio de la versión 1.3.9 de Remus promociona una función que permite a los operadores abrir un buzón de Gmail comprometido directamente desde el panel de control del servicio. Las capturas de pantalla proporcionadas muestran listas de mensajes, correos electrónicos individuales y una opción "Correo" asociada a los registros de los dispositivos comprometidos.
El anuncio incluye varias afirmaciones adicionales:
- Los operadores pueden interceptar los códigos de verificación de correo electrónico sin necesidad de recopilar archivos de cookies del navegador.
- Los cambios de contraseña y la revocación de sesión no impiden el acceso.
- El acceso al buzón de correo se puede compartir con otros operadores mediante enlaces.
Al preguntársele cómo funciona, el desarrollador describió la interacción con la memoria del navegador y afirmó que el malware se ejecuta y finaliza. También aseguró que el servicio evade los controles antifraude de Google, pero omitió los detalles técnicos necesarios para verificar dicha afirmación.
Recuerde que se trata de declaraciones publicitarias del vendedor de un servicio delictivo, no de hallazgos verificados de forma independiente.
Lo que demuestra la evidencia
Hudson Rock habló con una persona que había respaldado públicamente la función y describió su experiencia al usarla. Dicha fuente afirmó que el acceso al buzón de correo electrónico continuaba después de cerrar el navegador, reiniciar la sesión y cambiar la contraseña de Google.
Sin embargo, la correspondencia no documenta con exactitud qué sesiones se reiniciaron, la configuración de la cuenta ni el momento del cambio de contraseña y el acceso posterior. No se pudo comprobar la independencia de la fuente y las declaraciones no fueron respaldadas por una prueba controlada.
Hudson Rock afirma explícitamente que su informe no incluye ni ingeniería inversa de la nueva función ni validación posterior a la recuperación controlada.
Las filtraciones de datos ocurren a diario. No seas el último en enterarte.
¿Se podrá seguir accediendo a Gmail tras un cambio de contraseña?
Sí. En determinadas circunstancias, es posible seguir accediendo después de cambiar la contraseña.
Google documenta que los cambios de contraseña suelen invalidar los tokens de acceso y de actualización que utilizan las aplicaciones con permisos de Gmail. Estos tokens permiten que una aplicación acceda a una cuenta sin solicitar la contraseña en cada solicitud. Por lo tanto, el robo de tokens por sí solo no demuestra que Remus pueda mantener el acceso después de un cambio de contraseña.
Qué deben hacer los usuarios de Gmail
La incertidumbre en torno a las afirmaciones de Remus no justifica el abandono del cambio de contraseñas. Es un recordatorio de que recuperarse de una infección por robo de información implica más que simplemente cambiar una contraseña.
Si sospecha de una infección o de un acceso no autorizado a Gmail:
- Utilice un dispositivo independiente y de confianza para comenzar a proteger la cuenta de inmediato. Desconecte el dispositivo sospechoso de estar infectado de internet y elimine el malware antes de volver a iniciar sesión en sus cuentas.
- Cambia tu contraseña de Google, revisa los eventos de seguridad recientes y los dispositivos con sesión iniciada, y elimina los accesos desconocidos. Verifica las aplicaciones con acceso a la cuenta, así como las sesiones de los dispositivos.
- Revisa la configuración de Gmail para detectar reenvíos no autorizados, filtros, acceso delegado al buzón y cambios en el acceso remoto al correo. Comprueba también tu correo electrónico de recuperación, tu número de teléfono de recuperación y tus métodos de verificación.
- Ejecuta un software de seguridad confiable en el dispositivo afectado. Google señala que reiniciar el equipo y reinstalar el sistema operativo es otra opción para lidiar con software malicioso.
- Revisa otras cuentas importantes que dependan del buzón de correo para iniciar sesión o recuperarse, especialmente si ves mensajes de verificación o de restablecimiento de contraseña desconocidos.
Un buzón de correo puede servir como puerta de entrada a otras cuentas, ya que recibe enlaces de recuperación y mensajes de verificación. Sin embargo, las capturas de pantalla de Remus no demuestran una forma universal de eludir la autenticación multifactor, la capacidad de enviar correos electrónicos ni un control total sobre todas las cuentas asociadas a esa dirección.
La supuesta persistencia de Remus sigue sin verificarse. Si sospecha de una infección, proteja su cuenta y limpie el dispositivo afectado. La protección antimalware en tiempo real puede ayudar a prevenir infecciones de robo de información.
Desde denunciar las amenazas hasta eliminarlas.
Los riesgos de ciberseguridad nunca deberían trascender un simple titular. Mantén tus dispositivos protegidos contra amenazas descargando Malwarebytes hoy mismo .
