Remus: новый стилер обещает читать Gmail после смены пароля, но доказательств нет

Разработчики Remus Stealer рекламируют функцию, которая якобы позволяет операторам вредоноса открывать скомпрометированный почтовый ящик Gmail напрямую из панели управления сервиса. В анонсе версии 1.3.9, который изучила компания Hudson Rock, приводятся скриншоты со списками писем, отдельными сообщениями и опцией «Mail», привязанной к записям о заражённых устройствах. Среди заявленных возможностей — перехват кодов подтверждения электронной почты без сбора файлов cookie браузера, сохранение доступа после смены пароля и отзыва сеансов, а также возможность делиться доступом к ящику с другими операторами через ссылки.

На вопрос о принципе работы разработчик сослался на взаимодействие с памятью браузера и заявил, что вредонос выполняется и завершается, избегая антифрод-проверок Google. Технические детали, которые позволили бы оценить это утверждение, он не раскрыл. Hudson Rock подчёркивает: все эти заявления исходят от продавца криминального сервиса и не являются независимо подтверждёнными фактами.

Специалисты не проводили обратную разработку новой функции и не ставили контролируемых экспериментов для проверки устойчивости доступа после восстановления учётной записи. Авторы расследования пообщались с человеком, публично хвалившим функцию и описавшим свой опыт её использования. По его словам, доступ к почте сохранялся после закрытия браузера, сброса сеанса и смены пароля Google.

Однако переписка не содержит информации о том, какие именно сеансы были сброшены, о настройках аккаунта, времени смены пароля и последующего доступа. Независимость источника также не установлена. Сама по себе возможность доступа к Gmail после смены пароля не является чем-то невозможным.

Google подтверждает, что смена пароля обычно делает недействительными токены доступа и токены обновления, используемые приложениями с разрешениями Gmail. Кража токенов сама по себе не доказывает, что Remus способен обходить этот механизм. Пользователям Gmail не стоит отказываться от смены пароля при подозрении на компрометацию.

Напротив, инцидент с Remus — напоминание о том, что восстановление после заражения инфостилером требует более широких действий. Начать защиту учётной записи нужно с отдельного, доверенного устройства. Заражённый компьютер или телефон следует отключить от интернета и очистить от вредоносного ПО до повторного входа в аккаунты.

После смены пароля Google необходимо проверить недавние события безопасности, список устройств, выполнивших вход, и удалить незнакомые подключения. Отдельного внимания требуют приложения, имеющие доступ к аккаунту, и сеансы устройств. В настройках Gmail стоит осмотреть фильтры, пересылку, делегированный доступ и параметры удалённого доступа к почте, а также проверить резервный адрес электронной почты, номер телефона и способы подтверждения личности.

На поражённом устройстве нужно запустить доверенное защитное ПО. В Google отмечают, что в некоторых случаях имеет смысл сбросить компьютер до заводских настроек и переустановить операционную систему. Затем стоит проверить другие важные аккаунты, которые используют этот почтовый ящик для входа или восстановления, особенно если в ящике обнаружены незнакомые письма с кодами подтверждения или ссылками для сброса пароля.

Почтовый ящик действительно может стать ступенькой к другим сервисам, поскольку получает ссылки восстановления и проверочные сообщения. Однако скриншоты Remus не демонстрируют универсального обхода многофакторной аутентификации, возможности отправлять письма или полного контроля над всеми связанными учётными записями. Заявленная устойчивость доступа остаётся непроверенной, и при подозрении на заражение главное — быстро обезопасить аккаунт и очистить устройство.