Alterar a sua palavra-passe deve fazer parte da recuperação de uma conta comprometida. Os programadores do Remus Stealer estão a anunciar uma funcionalidade de leitura do Gmail que, segundo eles, consegue sobreviver a esta etapa e até à revogação da sessão.
Essa é uma afirmação séria. No entanto, esta capacidade não foi demonstrada na investigação publicada. A empresa de inteligência de ameaças Hudson Rock examinou o material promocional do Remus e interrogou tanto o programador como um cliente declarado. A sua conclusão é mais cautelosa do que a propaganda: o material descreve uma interface de leitura de e-mail, mas não comprova que o Remus possa recuperar novas mensagens após uma conta ter sido completamente protegida. Também não comprova a existência de uma vulnerabilidade zero-day no Gmail.
O que a Remus está a anunciar
Segundo a Hudson Rock, o anúncio da versão 1.3.9 do Remus promove uma funcionalidade que permite aos operadores abrir uma caixa de correio do Gmail comprometida directamente a partir do painel de controlo do serviço. As capturas de ecrã fornecidas mostram listas de mensagens, e-mails individuais e uma opção "E-mail" anexada aos registos de dispositivos comprometidos.
O anúncio faz várias outras afirmações:
- Os operadores podem intercetar códigos de verificação de e-mail sem recolher ficheiros de cookies do navegador.
- A alteração da palavra-chave e a revogação da sessão não impedem o acesso.
- O acesso à caixa de correio pode ser partilhado com outros operadores através de links.
Questionado sobre o funcionamento, o developer descreveu a interação com a memória do browser e afirmou que o malware executa e termina. O programador alegou ainda que o serviço contorna as verificações antifraude do Google, mas omitiu os detalhes técnicos necessários para avaliar esta afirmação.
Lembre-se, estas são declarações de marketing do vendedor de um serviço criminoso, não descobertas verificadas de forma independente.
O que mostram as evidências
A Hudson Rock falou com uma pessoa que tinha endossado publicamente o recurso e descrito a sua utilização. Esta fonte disse que o acesso à caixa de correio continuou mesmo após o fecho do browser, o reinício da sessão e a alteração da palavra-passe do Google.
No entanto, a correspondência não documenta exatamente quais as sessões que foram redefinidas, as definições da conta envolvidas ou o momento da alteração da palavra-passe e do acesso subsequente. A independência da fonte não foi comprovada e as declarações não foram acompanhadas por um teste controlado.
A Hudson Rock afirma explicitamente que o seu relatório não inclui nem a engenharia inversa da nova funcionalidade nem a validação controlada após a recuperação.
As violações de segurança ocorrem todos os dias. Não seja o último a saber.
O acesso ao Gmail permanece ativo mesmo após uma alteração de palavra-passe?
Sim. Em algumas condições, o acesso continua a ser possível após a alteração da palavra-chave.
A Google documenta que as alterações de palavra-passe normalmente invalidam os tokens de acesso e os tokens de atualização utilizados pelas aplicações com permissões do Gmail. Estes tokens permitem que uma aplicação aceda a uma conta sem ter de solicitar a senha a cada requisição. Portanto, o roubo de tokens por si só não comprova que o Remus possa manter o acesso após uma alteração de palavra-passe.
O que devem fazer os utilizadores do Gmail
A incerteza em torno das alegações de Remus não é motivo para abandonar a troca de palavras-passe. É um lembrete de que recuperar de uma infeção por infostealer envolve mais do que simplesmente trocar uma palavra-passe.
Se suspeitar de uma infeção ou de um acesso não autorizado ao Gmail:
- Utilize um dispositivo separado e fiável para começar a proteger a conta imediatamente. Desligue o dispositivo suspeito de estar infetado da internet e remova o malware antes de voltar a iniciar sessão nas contas que nele se encontram.
- Altere a sua palavra-passe do Google, reveja eventos de segurança recentes e dispositivos ligados e remova acessos desconhecidos. Verifique as aplicações com acesso à conta, bem como as sessões do dispositivo.
- Verifique as definições do Gmail em busca de reencaminhamentos não autorizados, filtros, acesso delegado à caixa de correio e alterações no acesso remoto ao e-mail. Verifique também o seu e-mail de recuperação, o número de telefone de recuperação e os métodos de verificação.
- Execute um software de segurança fiável no dispositivo afetado. A Google refere que repor o computador e reinstalar o sistema operativo é outra opção quando se lida com software malicioso.
- Analise outras contas importantes que dependem da caixa de correio para iniciar sessão ou recuperar dados, especialmente se vir mensagens de verificação ou de redefinição de palavra-passe desconhecidas.
Uma caixa de correio pode servir de ponto de partida para outras contas, uma vez que recebe links de recuperação e mensagens de verificação. No entanto, as capturas de ecrã do Remus não demonstram uma forma universal de contornar a autenticação multifactorial, a capacidade de enviar e-mails ou o controlo total sobre todas as contas associadas a esse endereço.
A persistência alegada por Remus permanece sem prova. Se suspeitar de uma infeção, proteja a sua conta e limpe o dispositivo afetado. A proteção antimalware em tempo real pode ajudar a prevenir infeções por ladrões de informação.
Desde a denúncia de ameaças até à sua remoção.
Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos , descarregando hoje mesmo Malwarebytes .
