Het wijzigen van je wachtwoord zou onderdeel moeten zijn van het herstellen van een gehackt account. De ontwikkelaars van Remus Stealer adverteren met een functie waarmee je Gmail-berichten kunt lezen. Volgens hen blijft deze functie intact, zelfs na het intrekken van je account.
Dat is een serieuze bewering. Het is echter geen bewezen mogelijkheid in het gepubliceerde onderzoek. Het bedrijf Hudson Rock, gespecialiseerd in cyberdreigingen, onderzocht het promotiemateriaal van Remus en ondervroeg zowel de ontwikkelaar als een zelfverklaarde klant. Hun conclusie is voorzichtiger dan de verkooppraatjes: het materiaal toont een interface waarmee mailboxen kunnen worden gelezen, maar het bewijst niet dat Remus nieuwe berichten kan ophalen nadat een account volledig is beveiligd. Evenmin wordt een zero-day kwetsbaarheid in Gmail aangetoond.
Wat Remus adverteert
Volgens Hudson Rock promoot Remus versie 1.3.9 een functie waarmee beheerders een gecompromitteerde Gmail-mailbox rechtstreeks vanuit het dashboard van de service kunnen openen. De bijgeleverde schermafbeeldingen tonen berichtenlijsten, individuele e-mails en een "Mail"-optie die is gekoppeld aan records van gecompromitteerde apparaten.
De aankondiging bevat diverse aanvullende beweringen:
- Operators kunnen verificatiecodes uit e-mails onderscheppen zonder browsercookies te verzamelen.
- Wachtwoordwijzigingen en het intrekken van sessies blokkeren de toegang niet.
- De toegang tot de mailbox kan via links met andere operators worden gedeeld.
Op de vraag hoe het werkt, beschreef de ontwikkelaar de interactie met het browsergeheugen en zei dat de malware wordt uitgevoerd en vervolgens weer wordt afgesloten. De ontwikkelaar beweerde ook dat de dienst de fraudebestrijdingscontroles van Google omzeilt, maar gaf geen technische details om die bewering te kunnen toetsen.
Onthoud dat dit marketinguitspraken zijn van de aanbieder van een dienst voor strafrechtelijke vervolging, en geen onafhankelijk geverifieerde bevindingen.
Wat het bewijs aantoont
Hudson Rock sprak met iemand die de functie publiekelijk had aanbevolen en beschreef hoe deze te gebruiken. Deze bron zei dat de toegang tot de mailbox bleef bestaan na het sluiten van de browser, het resetten van de sessie en het wijzigen van het Google-wachtwoord.
De correspondentie documenteert echter niet precies welke sessies zijn gereset, welke accountinstellingen daarbij betrokken waren, of het tijdstip van de wachtwoordwijziging en de daaropvolgende toegang. De onafhankelijkheid van de bron is niet vastgesteld en de verklaringen werden niet vergezeld van een gecontroleerde test.
Hudson Rock stelt expliciet dat het rapport geen reverse engineering van de nieuwe functie of gecontroleerde validatie na de implementatie omvat.
Er vinden dagelijks datalekken plaats. Zorg dat u niet als laatste op de hoogte bent.
Blijft de toegang tot Gmail behouden na een wachtwoordwijziging?
Ja. Onder bepaalde voorwaarden is het mogelijk om na een wachtwoordwijziging toegang te blijven houden.
Google documenteert dat wachtwoordwijzigingen doorgaans de toegangstokens en vernieuwingstokens ongeldig maken die worden gebruikt door applicaties met Gmail-toegangsrechten. Deze tokens stellen een applicatie in staat om toegang te krijgen tot een account zonder bij elk verzoek om het wachtwoord te hoeven vragen. Het feit dat een token is gestolen, bewijst daarom op zich niet dat Remus toegang kan behouden na een wachtwoordwijziging.
Wat Gmail-gebruikers moeten doen
De onduidelijkheid rond de beweringen van Remus is geen reden om te stoppen met het wijzigen van wachtwoorden. Het is een herinnering dat herstellen van een Infostealer-infectie meer inhoudt dan alleen het wijzigen van een wachtwoord.
Als u een infectie of ongeautoriseerde toegang tot Gmail vermoedt:
- Gebruik een apart, vertrouwd apparaat om het account zo snel mogelijk te beveiligen. Koppel het mogelijk geïnfecteerde apparaat los van het internet en verwijder de malware voordat u er opnieuw op inlogt.
- Wijzig je Google-wachtwoord, bekijk recente beveiligingsincidenten en aangemelde apparaten en verwijder onbekende toegang. Controleer applicaties die toegang hebben tot het account en apparaatsessies.
- Controleer de Gmail-instellingen op ongeautoriseerde doorsturing, filters, gedelegeerde toegang tot mailboxen en wijzigingen in toegang tot e-mail op afstand. Controleer ook uw herstel-e-mailadres, hersteltelefoonnummer en verificatiemethoden.
- Voer betrouwbare beveiligingssoftware uit op het getroffen apparaat. Google merkt op dat het resetten van de computer en het opnieuw installeren van het besturingssysteem een andere optie is bij het omgaan met schadelijke software.
- Controleer ook andere belangrijke accounts die voor aanmelding of herstel afhankelijk zijn van de mailbox, vooral als u onbekende verificatie- of wachtwoordherstelberichten ziet.
Een mailbox kan een opstapje zijn naar andere accounts, omdat deze herstellinks en verificatieberichten ontvangt. De screenshots van Remus tonen echter geen universele omzeiling van multifactorauthenticatie, de mogelijkheid om e-mail te verzenden of volledige controle over elk account dat aan dat adres is gekoppeld.
De beweerde persistentie van Remus is niet geverifieerd. Als u een infectie vermoedt, beveilig dan uw account en reinig het getroffen apparaat. Realtime antimalwarebescherming kan helpen infostealer-infecties te voorkomen.
Van het melden van bedreigingen tot het verwijderen ervan.
Cyberbeveiligingsrisico's mogen nooit verder reiken dan een krantenkop. Bescherm uw apparaten tegen bedreigingen door Malwarebytes vandaag nog te downloaden .
