Malware Remus Stealer mantém acesso ao Gmail mesmo após troca de senha, diz Hudson Rock

Um malware chamado Remus Stealer consegue manter acesso à caixa de entrada do Gmail mesmo depois de a vítima trocar a senha, fechar o navegador ou desconectar os dispositivos da conta. É o que aponta um relatório da empresa de cibersegurança Hudson Rock. A ferramenta, do tipo infostealer, é vendida por cibercriminosos por US$ 1.000 por mês.

Segundo os pesquisadores, o programa usa uma técnica que manipula a memória do navegador e contorna mecanismos de segurança do Google. A principal hipótese da Hudson Rock é que, em vez de roubar cookies tradicionais, o malware obtenha uma autorização reutilizável a partir de uma sessão ativa do Gmail. Um componente remoto passa então a pedir novas mensagens aos servidores do Google, mesmo com o computador desligado ou com os acessos revogados.

Os pesquisadores ressalvam que o desenvolvedor não revelou os detalhes de como o invasor escapa das verificações antifraude. Para demonstrar a ferramenta, a Hudson Rock entrou em contato com o criador do malware e com um de seus compradores. O criminoso mostrou capturas de tela do painel de controle, com mensagens roubadas em tempo real, registros de data e hora e opção de compartilhar o acesso à caixa de entrada com outros invasores. O painel tem ainda um campo de busca para localizar termos confidenciais e mensagens específicas.

O Remus Stealer só funciona quando a conta já foi comprometida e é vendido com foco no mercado corporativo. Por isso, empresas e pessoas com acesso a informações importantes são alvos possíveis. O risco também se estende a outros serviços: com acesso contínuo ao Gmail, os invasores podem interceptar códigos de verificação e links de recuperação de senha de contas ligadas ao mesmo endereço.

O site Tom's Guide procurou o Google para comentar o caso e aguardava resposta. Se a eficácia da ferramenta for confirmada, a expectativa é que a empresa crie novas barreiras no Gmail contra esse tipo de acesso persistente.

Quem suspeita de infecção deve desconectar o computador da internet e fazer uma verificação completa com antivírus. As senhas devem ser trocadas em outro dispositivo confiável. Também vale revisar os dispositivos conectados à conta Google, encerrar sessões desconhecidas e remover permissões de aplicativos de terceiros não reconhecidos. Outra checagem é procurar nas configurações do Gmail regras de encaminhamento automático que enviem cópias das mensagens a endereços dos invasores, além de trocar as senhas de serviços que usam o Gmail para recuperação ou envio de códigos.