Remus Stealer: abbonamento da 1.000 dollari per Gmail, ma senza prove

Il malware Remus Stealer pubblicizza un abbonamento Enterprise da 1.000 dollari al mese che garantirebbe l’accesso continuativo alle caselle Gmail rubate, persino in seguito alla modifica della password. Tuttavia, Hudson Rock non ha trovato riscontri concreti a supporto di questa affermazione.

Un malware offerto in vendita su forum sotterranei sostiene di aver individuato un metodo per eludere una delle misure di sicurezza informatica più importanti: il cambio password. Remus Stealer, nella versione 1.3.9, promuove un abbonamento Enterprise da 1.000 dollari mensili che assicurerebbe l’accesso continuativo alle caselle Gmail compromesse, anche dopo che la vittima ha cambiato le credenziali o revocato le sessioni attive.

Remus Stealer: perché è importante

Hudson Rock, società specializzata in threat intelligence e infostealer, ha indagato sulla questione senza però trovare conferme indipendenti. I ricercatori hanno esaminato il pannello di controllo di Remus, attraverso screenshot condivisi da un presunto utente del malware, che mostra un’interfaccia simile a quella di una webmail: elenco dei messaggi, mittenti, oggetto, anteprima del testo e barra di ricerca. Questa funzione è integrata nel pannello dei log rubati come azione “Mail” selezionabile direttamente dalla scheda del dispositivo compromesso.

Tuttavia, la parte verificabile della storia si ferma qui. Hudson Rock ha analizzato l’annuncio della versione 1.3.9, contattato lo sviluppatore e raccolto la testimonianza di un utente che ha pubblicamente confermato il funzionamento della funzione. Lo sviluppatore, interrogato sui dettagli tecnici, ha parlato solamente di “interazione con la memoria del browser” senza fornire ulteriori specifiche, né accettando di sottoporsi a un test controllato.

La società lo afferma chiaramente: “Il materiale mostra un’interfaccia per la lettura della posta elettronica, ma non dimostra che Remus possa recuperare nuovi messaggi dopo che un account è stato protetto in modo completo”. In altre parole, gli screenshot provano l’esistenza di un’interfaccia di lettura della posta, ma non la capacità di recuperare messaggi recenti una volta che l’account è stato messo in sicurezza con il cambio password, la revoca delle sessioni e il controllo degli accessi di terze parti.

Secondo i ricercatori, mancano sia un’analisi di reverse engineering del codice che un test post-recupero riproducibile. Inoltre, la testimonianza dell’utente che ha confermato la funzione non è stata verificata in modo indipendente e gli screenshot da soli non sono sufficienti a stabilire tempistiche o il metodo reale di recupero dei dati.

Cosa cambia e quali sono gli effetti

Hudson Rock evita quindi di classificare la funzione come una vulnerabilità zero-day dimostrata su Gmail, pur senza escludere del tutto la possibilità che il malware intercetti token di autorizzazione validi nel momento stesso dell’accesso della vittima, prima che la sessione venga invalidata. Google documenta da tempo che un cambio password invalida normalmente sia i token di accesso che quelli di refresh utilizzati dalle applicazioni con permessi su Gmail.

Esistono però eccezioni note, come le integrazioni basate su Apps Script o le connessioni IMAP configurate con credenziali separate, che potrebbero spiegare in parte le rivendicazioni del malware senza per questo validare l’esistenza di una falla nel sistema di autenticazione di Google.

Per chi sospetta un’infezione da infostealer, i consigli restano quelli standard: ripulire il dispositivo compromesso prima di accedere a qualsiasi account sensibile, cambiare le password da un dispositivo pulito, controllare le impostazioni di inoltro e i filtri di Gmail, rivedere i dispositivi collegati e gli accessi delegati, e monitorare gli account che usano quella casella come recupero. Il marketing aggressivo dei gruppi che vendono infostealer non è una novità: esagerare le capacità del proprio prodotto resta un modo efficace per giustificarne il prezzo, anche quando le prove concrete sono scarse.

Fonte e approfondimento su Remus Stealer: articolo originale.

Per altri aggiornamenti su Remus Stealer, consulta anche le ultime news tecnologiche di HWReady.

* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.