Cambiare la password dovrebbe essere parte integrante del processo di recupero di un account compromesso. Gli sviluppatori di Remus Stealer pubblicizzano una funzionalità di lettura di Gmail che, a loro dire, è in grado di resistere a questo passaggio e persino alla revoca della sessione.
Si tratta di un'affermazione seria. Tuttavia, non è una capacità dimostrata nell'indagine pubblicata. La società di intelligence sulle minacce Hudson Rock ha esaminato il materiale promozionale di Remus e ha interrogato sia lo sviluppatore che un sedicente cliente. La sua conclusione è più cauta rispetto alla presentazione di vendita: il materiale mostra un'interfaccia per la lettura delle caselle di posta, ma non dimostra che Remus possa recuperare nuovi messaggi dopo che un account è stato completamente protetto. Né dimostra una vulnerabilità zero-day di Gmail.
Cosa sta pubblicizzando Remus
Secondo Hudson Rock, l'annuncio della versione 1.3.9 di Remus promuove una funzionalità che consente agli operatori di aprire una casella di posta Gmail compromessa direttamente dalla dashboard del servizio. Gli screenshot forniti mostrano elenchi di messaggi, singole email e un'opzione "Mail" associata ai record dei dispositivi compromessi.
L'annuncio contiene diverse altre affermazioni:
- Gli operatori possono intercettare i codici di verifica delle e-mail senza raccogliere i cookie del browser.
- La modifica della password e la revoca della sessione non interrompono l'accesso.
- L'accesso alla casella di posta può essere condiviso con altri operatori tramite link.
Interpellato sul funzionamento, lo sviluppatore ha descritto l'interazione con la memoria del browser, affermando che il malware si esegue e poi termina. Lo sviluppatore ha inoltre sostenuto che il servizio elude i controlli antifrode di Google, ma ha omesso di fornire i dettagli tecnici necessari per verificare tale affermazione.
Ricordate, queste sono dichiarazioni di marketing del venditore di un servizio criminale, non risultati verificati in modo indipendente.
Ciò che dimostrano le prove
Hudson Rock ha parlato con una persona che aveva pubblicamente approvato la funzionalità e ne ha descritto l'utilizzo. Questa fonte ha affermato che l'accesso alla casella di posta elettronica è rimasto attivo anche dopo la chiusura del browser, il ripristino della sessione e la modifica della password di Google.
Tuttavia, la corrispondenza non documenta con precisione quali sessioni siano state reimpostate, le impostazioni dell'account coinvolte o la tempistica del cambio di password e del successivo accesso. L'indipendenza della fonte non è stata accertata e le dichiarazioni non sono state accompagnate da un test controllato.
Hudson Rock dichiara esplicitamente che il suo rapporto non include né l'ingegneria inversa della nuova funzionalità né la convalida controllata post-recupero.
Le violazioni avvengono ogni giorno. Non essere l'ultimo a saperlo.
L'accesso a Gmail rimane attivo anche dopo un cambio di password?
Sì. In determinate condizioni, è possibile continuare ad accedere al sistema anche dopo aver modificato la password.
Google documenta che le modifiche alla password di solito invalidano i token di accesso e i token di aggiornamento utilizzati dalle applicazioni con autorizzazioni Gmail. Questi token consentono a un'applicazione di accedere a un account senza richiedere la password a ogni accesso. Il furto di token, quindi, non è sufficiente a dimostrare che Remus possa mantenere l'accesso dopo una modifica della password.
Cosa dovrebbero fare gli utenti di Gmail
L'incertezza che circonda le affermazioni di Remus non è un motivo per abbandonare il cambio di password. È piuttosto un promemoria del fatto che riprendersi da un'infezione da infostealer implica ben più del semplice cambio di password.
Se sospetti un'infezione o un accesso non autorizzato a Gmail:
- Utilizza un dispositivo separato e affidabile per iniziare subito a proteggere l'account. Disconnetti il dispositivo sospettato di essere infetto da Internet e rimuovi il malware prima di accedere nuovamente agli account su di esso.
- Cambia la password di Google, controlla gli eventi di sicurezza recenti e i dispositivi che hanno effettuato l'accesso e rimuovi gli accessi non autorizzati. Verifica le applicazioni che hanno accesso all'account e le sessioni dei dispositivi.
- Controlla le impostazioni di Gmail per verificare la presenza di inoltri non autorizzati, filtri, accesso delegato alla casella di posta e modifiche all'accesso remoto alla posta. Verifica anche l'indirizzo email di recupero, il numero di telefono di recupero e i metodi di verifica.
- Esegui un software di sicurezza affidabile sul dispositivo interessato. Google fa notare che ripristinare il computer e reinstallare il sistema operativo è un'altra opzione da considerare in caso di software dannoso.
- Verifica gli altri account importanti che utilizzano la casella di posta elettronica per l'accesso o il recupero, soprattutto se visualizzi messaggi di verifica o di reimpostazione della password insoliti.
Una casella di posta elettronica può fungere da trampolino di lancio per altri account, poiché riceve link di recupero e messaggi di verifica. Tuttavia, gli screenshot di Remus non dimostrano una soluzione universale per aggirare l'autenticazione a più fattori, la possibilità di inviare email o il controllo completo su tutti gli account associati a quell'indirizzo.
La presunta persistenza di Remus non è stata verificata. Se sospetti un'infezione, proteggi il tuo account e ripulisci il dispositivo interessato. La protezione antimalware in tempo reale può aiutare a prevenire le infezioni da infostealer.
Dalla segnalazione delle minacce alla loro rimozione.
I rischi per la sicurezza informatica non dovrebbero mai andare oltre un titolo di giornale. Proteggi i tuoi dispositivi dalle minacce scaricando Malwarebytes oggi stesso .
