Zmiana hasła powinna być częścią odzyskiwania naruszonego konta. Twórcy Remus Stealer reklamują funkcję odczytu poczty Gmail, która, jak twierdzą, może przetrwać ten etap, a nawet unieważnienie sesji.
To poważne twierdzenie. Nie jest to jednak udowodniona funkcja w opublikowanym dochodzeniu. Firma zajmująca się analizą zagrożeń, Hudson Rock, zbadała materiały promocyjne Remusa i przesłuchała zarówno jego twórcę, jak i samozwańczego klienta. Jej wniosek jest bardziej ostrożny niż argumentacja sprzedażowa: materiał przedstawia interfejs odczytujący skrzynkę pocztową, ale nie dowodzi, że Remus może pobierać nowe wiadomości po kompleksowym zabezpieczeniu konta. Nie dowodzi również istnienia luki typu zero-day w Gmailu.
Co reklamuje Remus
Według Hudsona Rocka, zapowiedź Remusa w wersji 1.3.9 promuje funkcję, która pozwala operatorom otwierać zainfekowaną skrzynkę pocztową Gmail bezpośrednio z pulpitu usługi. Dostarczone zrzuty ekranu pokazują listy wiadomości, pojedyncze wiadomości e-mail oraz opcję „Poczta” dołączoną do rekordów zainfekowanych urządzeń.
W ogłoszeniu złożono kilka dodatkowych oświadczeń:
- Operatorzy mogą przechwytywać kody weryfikacyjne wysyłane e-mailem bez konieczności gromadzenia plików cookie przeglądarki.
- Zmiana hasła i odwołanie sesji nie powodują zablokowania dostępu.
- Dostęp do skrzynki pocztowej można udostępniać innym operatorom za pomocą linków.
Zapytany o sposób działania, twórca oprogramowania opisał interakcję z pamięcią przeglądarki i stwierdził, że złośliwe oprogramowanie uruchamia się i kończy działanie. Twórca oprogramowania twierdził również, że usługa omija kontrole Google dotyczące oszustw, ale ukrył szczegóły techniczne niezbędne do oceny tego twierdzenia.
Należy pamiętać, że są to oświadczenia marketingowe sprzedawcy usług przestępczych, a nie niezależnie zweryfikowane ustalenia.
Co pokazują dowody
Hudson Rock rozmawiał z osobą, która publicznie poparła tę funkcję i opisała jej korzystanie. Źródło to podało, że dostęp do skrzynki pocztowej był kontynuowany po zamknięciu przeglądarki, zresetowaniu sesji i zmianie hasła Google.
Jednak korespondencja nie dokumentuje dokładnie, które sesje zostały zresetowane, jakich ustawień konta to dotyczyło, ani kiedy nastąpiła zmiana hasła i późniejszy dostęp. Niezależność źródła nie została potwierdzona, a oświadczeniom nie towarzyszył test kontrolny.
Hudson Rock wyraźnie stwierdza, że w jego raporcie nie uwzględniono ani inżynierii wstecznej nowej funkcji, ani kontrolowanej walidacji po odzyskaniu.
Naruszenia bezpieczeństwa zdarzają się codziennie. Nie bądź ostatnim, który się o tym dowie.
Czy dostęp do Gmaila przetrwa zmianę hasła?
Tak. Pod pewnymi warunkami możliwy jest dalszy dostęp po zmianie hasła.
Dokumenty Google wskazują, że zmiana hasła zazwyczaj unieważnia tokeny dostępu i odświeża tokeny używane przez aplikacje z uprawnieniami Gmaila. Tokeny te umożliwiają aplikacji dostęp do konta bez konieczności podawania hasła przy każdym żądaniu. Sama kradzież tokena nie dowodzi zatem, że Remus może zachować dostęp po zmianie hasła.
Co powinni zrobić użytkownicy Gmaila
Niepewność związana z twierdzeniami Remusa nie jest powodem do zaniechania zmiany hasła. Przypomina raczej, że powrót do zdrowia po infekcji kradzieżą danych wymaga czegoś więcej niż tylko zmiany hasła.
Jeśli podejrzewasz infekcję lub nieautoryzowany dostęp do poczty Gmail:
- Użyj osobnego, zaufanego urządzenia, aby jak najszybciej rozpocząć zabezpieczanie konta. Odłącz podejrzane urządzenie od internetu i usuń złośliwe oprogramowanie przed ponownym zalogowaniem się na konta.
- Zmień hasło Google, sprawdź ostatnie zdarzenia związane z bezpieczeństwem i zalogowane urządzenia oraz usuń nieznane uprawnienia dostępu. Sprawdź aplikacje z dostępem do konta oraz sesje urządzenia.
- Sprawdź ustawienia Gmaila pod kątem nieautoryzowanych przekierowań, filtrów, delegowanego dostępu do skrzynki pocztowej i zmian w zdalnym dostępie do poczty. Sprawdź również swój adres e-mail, numer telefonu i metody weryfikacji.
- Uruchom zaufane oprogramowanie zabezpieczające na zainfekowanym urządzeniu. Google zaznacza, że zresetowanie komputera i ponowna instalacja systemu operacyjnego to kolejne rozwiązanie w przypadku szkodliwego oprogramowania.
- Sprawdź inne ważne konta, do których logowanie lub odzyskiwanie dostępu wymaga skrzynki pocztowej, zwłaszcza jeśli widzisz nieznane komunikaty weryfikacyjne lub dotyczące resetowania hasła.
Skrzynka pocztowa może być trampoliną do innych kont, ponieważ otrzymuje linki odzyskiwania i wiadomości weryfikacyjne. Zrzuty ekranu z Remusa nie pokazują jednak uniwersalnego obejścia uwierzytelniania wieloskładnikowego, możliwości wysyłania wiadomości ani pełnej kontroli nad każdym kontem powiązanym z tym adresem.
Twierdzenie o utrzymywaniu się Remusa pozostaje niepotwierdzone. Jeśli podejrzewasz infekcję, zabezpiecz swoje konto i wyczyść zainfekowane urządzenie. Ochrona antywirusowa w czasie rzeczywistym może pomóc zapobiec infekcjom typu infostealer.
Od zgłaszania zagrożeń po ich usuwanie.
Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówki. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś .
