Смена пароля должна быть частью процесса восстановления взломанной учетной записи. Разработчики Remus Stealer рекламируют функцию чтения Gmail, которая, по их утверждению, может пережить этот этап и даже аннулирование сессии.
Это серьёзное утверждение. Однако в опубликованном расследовании это не было продемонстрировано. Компания Hudson Rock, занимающаяся анализом угроз, изучила рекламные материалы Remus и опросила как разработчика, так и человека, представившегося клиентом. Её вывод более осторожен, чем рекламное описание: в материалах показан интерфейс для чтения почтового ящика, но не доказано, что Remus может получать новые сообщения после того, как учетная запись была полностью защищена. Также не доказана уязвимость нулевого дня в Gmail.
Что рекламирует Ремус?
По словам Хадсона Рока, в анонсе версии 1.3.9 от Remus рекламируется функция, позволяющая операторам открывать взломанный почтовый ящик Gmail непосредственно из панели управления сервиса. На предоставленных скриншотах показаны списки сообщений, отдельные электронные письма и опция «Почта», прикрепленная к записям о взломанных устройствах.
В объявлении содержится несколько дополнительных утверждений:
- Операторы могут перехватывать коды подтверждения электронной почты, не собирая файлы cookie браузера.
- Смена пароля и аннулирование сессии не приводят к прекращению доступа.
- Доступ к почтовому ящику можно предоставить другим операторам посредством ссылок.
На вопрос о принципе работы разработчик описал взаимодействие с памятью браузера и заявил, что вредоносная программа запускается и завершает свою работу. Разработчик также утверждал, что сервис обходит проверки Google на предмет мошенничества, но не раскрыл технических деталей, необходимых для оценки этого утверждения.
Помните, это маркетинговые заявления продавца криминалистических услуг, а не результаты независимой проверки.
Что показывают доказательства
Компания Hudson Rock поговорила с человеком, который публично одобрил эту функцию и описал, как ею пользовался. Этот источник сообщил, что доступ к почтовому ящику сохранялся после закрытия браузера, сброса сессии и смены пароля Google.
Однако в переписке не указано, какие именно сессии были сброшены, какие настройки учетной записи были задействованы, а также время смены пароля и последующего доступа. Независимость источника не была установлена, и заявления не сопровождались контролируемым исследованием.
Компания Hudson Rock прямо заявляет, что в её отчёте не содержится информации ни об обратном проектировании новой функции, ни о контролируемой проверке после восстановления.
Утечки данных происходят каждый день. Не будьте последними, кто об этом узнает.
Сохранится ли доступ к Gmail после смены пароля?
Да. При определенных условиях возможен дальнейший доступ после смены пароля.
В документации Google указано , что смена пароля обычно аннулирует токены доступа и токены обновления, используемые приложениями с правами доступа Gmail. Эти токены позволяют приложению получать доступ к учетной записи без запроса пароля при каждом обращении. Таким образом, кража токенов сама по себе не доказывает, что Remus сможет сохранить доступ после смены пароля.
Что должны делать пользователи Gmail
Неопределенность в отношении заявлений Ремуса не является поводом отказываться от смены паролей. Это напоминание о том, что восстановление после заражения вредоносной программой для кражи информации включает в себя нечто большее, чем просто смену пароля.
Если вы подозреваете заражение или несанкционированный доступ к Gmail:
- Для немедленного обеспечения безопасности учетной записи используйте отдельное, надежное устройство. Отключите устройство, предположительно зараженное вредоносным ПО, от интернета и удалите вредоносную программу, прежде чем снова входить в учетные записи на нем.
- Измените пароль от учетной записи Google, просмотрите последние события безопасности и устройства, на которых был выполнен вход, а также удалите несанкционированный доступ. Проверьте приложения, имеющие доступ к учетной записи, а также сеансы работы устройства.
- Проверьте настройки Gmail на предмет несанкционированной пересылки, фильтров, делегированного доступа к почтовому ящику и изменений в удаленном доступе к почте. Также проверьте свой резервный адрес электронной почты, резервный номер телефона и способы подтверждения.
- Запустите на зараженном устройстве надежное программное обеспечение для обеспечения безопасности . Google отмечает, что сброс настроек компьютера и переустановка операционной системы — еще один вариант борьбы с вредоносным ПО.
- Проверьте другие важные учетные записи, которые используют этот почтовый ящик для входа в систему или восстановления, особенно если вы видите незнакомые сообщения о подтверждении или сбросе пароля.
Почтовый ящик может служить промежуточным звеном для доступа к другим учетным записям, поскольку в него поступают ссылки для восстановления и сообщения с подтверждением. Однако скриншоты Remus не демонстрируют универсальный обход многофакторной аутентификации, возможность отправки почты или полный контроль над каждой учетной записью, связанной с этим адресом.
Заявленная устойчивость Remus к вредоносному ПО до сих пор не подтверждена. Если вы подозреваете заражение, защитите свою учетную запись и очистите зараженное устройство. Защита от вредоносных программ в режиме реального времени может помочь предотвратить заражение вредоносным ПО, похищающим информацию.
От сообщения об угрозах до их устранения.
Риски кибербезопасности никогда не должны выходить за рамки заголовков новостей. Защитите свои устройства от угроз, скачав Malwarebytes уже сегодня .
