Novo malware Remus Stealer mantém acesso a caixas de entrada do Gmail

Um novo malware, batizado de Remus Stealer, foi identificado por pesquisadores da empresa de cibersegurança Hudson Rock, com a capacidade de manter o acesso a caixas de entrada do Gmail mesmo após a vítima trocar a senha, fechar o navegador ou desconectar seus dispositivos da conta. A ferramenta, classificada como infostealer, é comercializada por cibercriminosos por US$ 1.000 mensais e promete acesso contínuo às mensagens de contas comprometidas.

A principal hipótese dos pesquisadores é que o Remus Stealer utilize uma técnica que manipula a memória do navegador, contornando os mecanismos de segurança do Google. Em vez de roubar cookies tradicionais, o malware parece obter uma autorização reutilizável a partir de uma sessão ativa do Gmail. Com isso, um componente remoto continua solicitando novas mensagens aos servidores do Google mesmo se o computador for desligado ou os acessos forem revogados. Os detalhes exatos de como o invasor contorna as verificações antifraude não foram revelados pelo desenvolvedor.

Como funciona o Remus Stealer

Para demonstrar a eficácia da ferramenta, a Hudson Rock entrou em contato com o desenvolvedor e um comprador do malware. O criminoso compartilhou capturas de tela do painel de controle, que exibiam mensagens roubadas em tempo real, com registros de data e hora. O painel também oferece opções para compartilhar o acesso à caixa de entrada com outros invasores e conta com uma ferramenta de busca para localizar termos confidenciais e mensagens específicas entre os e-mails interceptados.

A ferramenta é focada no mercado corporativo e só funciona quando a conta de e-mail já foi previamente comprometida. Isso significa que organizações e indivíduos com acesso a informações sensíveis podem se tornar alvos primários. Além disso, o acesso contínuo ao Gmail representa um risco ampliado, pois os invasores podem interceptar códigos de verificação e links de recuperação de senha de outros serviços vinculados ao endereço de e-mail comprometido.

O que diz o Google e como se proteger

O Google foi procurado para comentar a exploração, mas ainda aguarda uma resposta. Caso a eficácia da ferramenta seja confirmada, espera-se que a empresa desenvolva e implemente novas barreiras de proteção no Gmail para impedir esse tipo de acesso persistente.

Para se proteger do Remus Stealer, caso suspeite de uma infecção, é crucial tomar algumas medidas imediatas:

• Isolar o computador infectado: desconecte o dispositivo da internet e realize uma verificação completa com um antivírus confiável. Evite acessar contas importantes pela máquina até que a limpeza seja concluída.
• Trocar as senhas em outro dispositivo: utilize um computador ou celular confiável para alterar as credenciais de todas as contas comprometidas.
• Revisar os acessos à conta Google: verifique a lista de dispositivos conectados, encerre sessões desconhecidas e remova permissões de aplicativos de terceiros não reconhecidos.
• Verificar as configurações do Gmail: procure por alterações não autorizadas, especialmente regras de encaminhamento automático que possam enviar cópias das mensagens para endereços controlados pelos invasores.
• Proteger outras contas: altere as senhas de serviços que utilizam o Gmail para recuperação de acesso ou envio de códigos de verificação.
• Desconfiar de mensagens suspeitas: confira o endereço do remetente e tenha cautela com e-mails que pressionam o usuário a clicar em links ou baixar arquivos.
• Manter o antivírus atualizado: utilize um programa de proteção atualizado no computador para identificar e neutralizar arquivos maliciosos antes que comprometam o sistema.