Alterar sua senha deve fazer parte da recuperação de uma conta comprometida. Os desenvolvedores do Remus Stealer estão anunciando um recurso de leitura do Gmail que, segundo eles, consegue sobreviver a essa etapa e até mesmo à revogação da sessão.
Essa é uma afirmação séria. No entanto, essa capacidade não foi demonstrada na investigação publicada. A empresa de inteligência de ameaças Hudson Rock examinou o material promocional do Remus e interrogou tanto o desenvolvedor quanto um cliente declarado. Sua conclusão é mais cautelosa do que a propaganda: o material descreve uma interface de leitura de e-mail, mas não comprova que o Remus possa recuperar novas mensagens após uma conta ter sido completamente protegida. Tampouco comprova a existência de uma vulnerabilidade zero-day no Gmail.
O que Remus está anunciando
Segundo a Hudson Rock, o anúncio da versão 1.3.9 do Remus promove um recurso que permite aos operadores abrir uma caixa de correio do Gmail comprometida diretamente do painel de controle do serviço. As capturas de tela fornecidas mostram listas de mensagens, e-mails individuais e uma opção "E-mail" anexada aos registros de dispositivos comprometidos.
O anúncio faz diversas outras afirmações:
- Os operadores podem interceptar códigos de verificação de e-mail sem coletar arquivos de cookies do navegador.
- A alteração de senha e a revogação da sessão não impedem o acesso.
- O acesso à caixa de correio pode ser compartilhado com outras operadoras por meio de links.
Questionado sobre o funcionamento, o desenvolvedor descreveu a interação com a memória do navegador e afirmou que o malware executa e encerra. O desenvolvedor também alegou que o serviço burla as verificações antifraude do Google, mas omitiu os detalhes técnicos necessários para avaliar essa afirmação.
Lembre-se, essas são declarações de marketing do vendedor de um serviço criminoso, não descobertas verificadas de forma independente.
O que as evidências mostram
A Hudson Rock conversou com uma pessoa que havia endossado publicamente o recurso e descrito seu uso. Essa fonte disse que o acesso à caixa de correio continuou mesmo após o fechamento do navegador, a reinicialização da sessão e a alteração da senha do Google.
No entanto, a correspondência não documenta exatamente quais sessões foram redefinidas, as configurações da conta envolvidas ou o momento da alteração da senha e do acesso subsequente. A independência da fonte não foi comprovada e as declarações não foram acompanhadas por um teste controlado.
A Hudson Rock afirma explicitamente que seu relatório não inclui nem engenharia reversa do novo recurso nem validação controlada após a recuperação.
As violações de segurança acontecem todos os dias. Não seja o último a saber.
O acesso ao Gmail permanece ativo mesmo após uma alteração de senha?
Sim. Em algumas condições, o acesso continua sendo possível após a alteração da senha.
O Google documenta que as alterações de senha normalmente invalidam os tokens de acesso e os tokens de atualização usados por aplicativos com permissões do Gmail. Esses tokens permitem que um aplicativo acesse uma conta sem precisar solicitar a senha a cada requisição. Portanto, o roubo de tokens por si só não comprova que o Remus possa manter o acesso após uma alteração de senha.
O que os usuários do Gmail devem fazer
A incerteza em torno das alegações de Remus não é motivo para abandonar a troca de senhas. É um lembrete de que a recuperação de uma infecção por infostealer envolve mais do que simplesmente trocar uma senha.
Se você suspeitar de uma infecção ou acesso não autorizado ao Gmail:
- Use um dispositivo separado e confiável para começar a proteger a conta imediatamente. Desconecte o dispositivo suspeito de estar infectado da internet e remova o malware antes de fazer login novamente nas contas nele.
- Altere sua senha do Google, revise eventos de segurança recentes e dispositivos conectados e remova acessos desconhecidos. Verifique os aplicativos com acesso à conta, bem como as sessões do dispositivo.
- Verifique as configurações do Gmail em busca de encaminhamentos não autorizados, filtros, acesso delegado à caixa de correio e alterações no acesso remoto ao e-mail. Verifique também seu e-mail de recuperação, número de telefone de recuperação e métodos de verificação.
- Execute um software de segurança confiável no dispositivo afetado. O Google observa que redefinir o computador e reinstalar o sistema operacional é outra opção ao lidar com software malicioso.
- Analise outras contas importantes que dependem da caixa de correio para iniciar sessão ou recuperar dados, especialmente se vir mensagens de verificação ou de redefinição de palavra-passe desconhecidas.
Uma caixa postal pode servir como ponto de partida para outras contas, pois recebe links de recuperação e mensagens de verificação. No entanto, as capturas de tela do Remus não demonstram uma forma universal de burlar a autenticação multifatorial, a capacidade de enviar e-mails ou o controle completo sobre todas as contas associadas a esse endereço.
A persistência alegada por Remus permanece sem comprovação. Se suspeitar de uma infecção, proteja sua conta e limpe o dispositivo afetado. A proteção antimalware em tempo real pode ajudar a prevenir infecções por ladrões de informações.
Desde a denúncia de ameaças até a sua remoção.
Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos baixando Malwarebytes hoje mesmo .
