Changer son mot de passe devrait faire partie de la procédure de récupération d'un compte compromis. Les développeurs de Remus Stealer font la promotion d'une fonctionnalité permettant de lire les e-mails Gmail, affirmant qu'elle peut survivre à cette étape et même à la révocation de la session.
Il s'agit d'une affirmation sérieuse. Cependant, l'enquête publiée n'a pas démontré cette capacité. La société de veille sur les menaces Hudson Rock a examiné les documents promotionnels de Remus et interrogé son développeur ainsi qu'un utilisateur se présentant comme tel. Sa conclusion est plus prudente que l'argumentaire de vente : les documents présentent une interface de lecture de messagerie, mais n'établissent pas que Remus puisse récupérer les nouveaux messages après la sécurisation complète d'un compte. Ils ne démontrent pas non plus l'existence d'une vulnérabilité zero-day dans Gmail.
Ce que Remus annonce
D'après Hudson Rock, l'annonce de la version 1.3.9 de Remus met en avant une fonctionnalité permettant aux opérateurs d'ouvrir une boîte mail Gmail compromise directement depuis le tableau de bord du service. Les captures d'écran fournies montrent des listes de messages, des e-mails individuels et une option « Courrier » associée aux enregistrements des appareils compromis.
L'annonce formule plusieurs autres affirmations :
- Les opérateurs peuvent intercepter les codes de vérification par e-mail sans collecter les fichiers de cookies du navigateur.
- Les changements de mot de passe et la révocation de session n'interrompent pas l'accès.
- L'accès à la boîte mail peut être partagé avec d'autres opérateurs via des liens.
Interrogé sur son fonctionnement, le développeur a décrit une interaction avec la mémoire du navigateur et a indiqué que le logiciel malveillant s'exécute puis se ferme. Il a également affirmé que le service contourne les contrôles antifraude de Google, sans toutefois fournir les détails techniques nécessaires à la vérification de cette affirmation.
N'oubliez pas qu'il s'agit de déclarations marketing du vendeur d'un service criminel, et non de conclusions vérifiées de manière indépendante.
Ce que les preuves montrent
Hudson Rock s'est entretenu avec une personne ayant publiquement approuvé la fonctionnalité et décrit son utilisation. Cette source a indiqué que l'accès à la boîte mail restait possible même après la fermeture du navigateur, la réinitialisation de la session et la modification du mot de passe Google.
Toutefois, la correspondance ne précise pas quelles sessions ont été réinitialisées, les paramètres de compte concernés, ni le moment du changement de mot de passe et de l'accès ultérieur. L'indépendance de la source n'a pas été établie et les déclarations n'ont pas été étayées par un test contrôlé.
Hudson Rock précise que son rapport n'inclut ni la rétro-ingénierie de la nouvelle fonctionnalité ni une validation contrôlée après récupération.
Des violations de données se produisent chaque jour. Ne soyez pas le dernier à le savoir.
L'accès à Gmail est-il préservé après un changement de mot de passe ?
Oui. Sous certaines conditions, l'accès peut être maintenu après un changement de mot de passe.
Google indique que les changements de mot de passe invalident généralement les jetons d'accès et les jetons d'actualisation utilisés par les applications disposant des autorisations Gmail. Ces jetons permettent à une application d'accéder à un compte sans avoir à demander le mot de passe à chaque requête. Le vol de jeton à lui seul ne prouve donc pas que Remus puisse conserver l'accès après un changement de mot de passe.
Que doivent faire les utilisateurs de Gmail
L'incertitude qui entoure les affirmations de Remus ne justifie pas de renoncer à changer régulièrement ses mots de passe. Elle nous rappelle simplement que se remettre d'une infection par un logiciel espion ne se limite pas à changer de mot de passe.
Si vous soupçonnez une infection ou un accès non autorisé à votre compte Gmail :
- Utilisez un appareil distinct et fiable pour sécuriser immédiatement votre compte. Déconnectez l'appareil suspecté d'être infecté d'Internet et supprimez le logiciel malveillant avant de vous reconnecter à vos comptes.
- Changez votre mot de passe Google, consultez l'historique de sécurité et les appareils connectés, et supprimez les accès non autorisés. Vérifiez les applications ayant accès à votre compte ainsi que les sessions sur vos appareils.
- Vérifiez les paramètres Gmail pour détecter tout transfert non autorisé, filtre, accès délégué à la boîte aux lettres et modification de l'accès distant à la messagerie. Contrôlez également votre adresse e-mail de récupération, votre numéro de téléphone de récupération et vos méthodes de vérification.
- Exécutez un logiciel de sécurité fiable sur l'appareil infecté. Google indique que la réinitialisation de l'ordinateur et la réinstallation de son système d'exploitation constituent une autre solution en cas d'infection par un logiciel malveillant.
- Vérifiez les autres comptes importants qui dépendent de cette boîte mail pour se connecter ou se récupérer, surtout si vous voyez des messages de vérification ou de réinitialisation de mot de passe inhabituels.
Une boîte mail peut servir de tremplin vers d'autres comptes, car elle reçoit des liens de récupération et des messages de vérification. Cependant, les captures d'écran de Remus ne démontrent ni le contournement universel de l'authentification multifactorielle, ni la possibilité d'envoyer des mails, ni le contrôle total de tous les comptes associés à cette adresse.
La persistance supposée de Remus reste non vérifiée. Si vous soupçonnez une infection, sécurisez votre compte et nettoyez l'appareil affecté. Une protection anti-malware en temps réel peut contribuer à prévenir les infections par des voleurs de données.
Du signalement des menaces à leur suppression.
Les risques de cybersécurité ne devraient jamais dépasser le stade de la simple mention dans les médias. Protégez vos appareils des menaces en téléchargeant Malwarebytes dès aujourd'hui .
