Un malware especializado en robar información de computadores con Windows está comercializando una función para acceder a cuentas del correo Gmail incluso después del cambio de contraseña.
-
Temas del Día
- Camioneros
- Rabat
- Crisis Climática
La versión 1.3.9 incorpora una función para consultar correos de cuentas comprometidas. Investigadores advierten que todavía no se ha demostrado su supuesto acceso persistente.
Amenaza al correo Gmail
Agencia UnoUn malware especializado en robar información de computadores con Windows está comercializando una función para acceder a cuentas del correo Gmail incluso después del cambio de contraseña.
Se trata de Remus Stealer, cuyos desarrolladores aseguran que su nueva herramienta permite continuar consultando mensajes de buzones comprometidos y mantener el acceso tras cerrar sesiones.
La función fue incorporada a la versión 1.3.9 del programa y permite visualizar bandejas de entrada y mensajes individuales desde un panel utilizado por los operadores del malware. Sin embargo, la supuesta capacidad para mantener el acceso después de recuperar una cuenta todavía no ha sido demostrada mediante pruebas técnicas independientes.
Remus Stealer pertenece a la categoría de los infostealers, programas maliciosos diseñados para extraer información de dispositivos infectados. Su nueva función permite abrir buzones Gmail directamente desde los registros de computadores comprometidos.
La investigación de Hudson Rock, publicada el 9 de noviembre, examinó los anuncios de la versión 1.3.9 y las capturas de pantalla promocionales. Estas muestran una interfaz con listas de mensajes, remitentes, asuntos y opciones para consultar correos individuales.
Entre las características publicitadas también aparecen la interceptación de códigos de verificación enviados por correo electrónico, sin recopilar los archivos de cookies habituales del navegador, y la posibilidad de compartir el acceso a buzones comprometidos mediante enlaces entre operadores.
El desarrollador sostiene que el programa interactúa con la memoria del navegador, obtiene la información necesaria y posteriormente deja de ejecutarse. También asegura que su herramienta puede seguir accediendo al correo pese a los cambios de contraseña y la revocación de sesiones, aunque no ha entregado detalles técnicos suficientes para comprobar ese funcionamiento.
Para investigar esta capacidad, Hudson Rock contactó tanto al desarrollador como a una persona que había respaldado públicamente la nueva función y afirmaba utilizarla.
Este último aseguró que podía continuar consultando los mensajes después del cierre del navegador, el restablecimiento de sesiones y el cambio de contraseña de Google. También señaló que podía visualizar códigos de verificación enviados por distintos servicios.
Sin embargo, su testimonio no estuvo acompañado de registros técnicos que permitieran comprobar las condiciones de la cuenta, las sesiones revocadas o la secuencia de las operaciones. Hudson Rock tampoco realizó ingeniería inversa de la función ni pruebas controladas posteriores a la recuperación de una cuenta.
Por lo tanto, no está demostrado que Remus pueda recuperar mensajes nuevos después de cambiar la contraseña y revocar efectivamente los mecanismos de acceso. Tampoco existe evidencia suficiente para afirmar que explota una vulnerabilidad desconocida de Gmail o que permite eludir universalmente la autenticación multifactor.
La documentación oficial de Google establece que los cambios de contraseña invalidan los tokens OAuth de acceso y actualización utilizados por aplicaciones con permisos para consultar Gmail. Sin embargo, existen excepciones, entre ellas determinadas aplicaciones y sesiones de correo, además de algunos dispositivos autorizados. Esto hace necesario revisar los accesos asociados a una cuenta comprometida.
Aunque la capacidad anunciada por Remus todavía no está verificada, una infección por un infostealer puede comprometer información almacenada en el computador y credenciales utilizadas para acceder a distintos servicios.
Ante una posible intrusión, las recomendaciones de seguridad incluyen:
También es importante revisar otras cuentas vinculadas a Gmail, especialmente aquellas que utilizan esa dirección para recuperar contraseñas o recibir códigos de verificación.
