Remus Stealer продаёт доступ к чужому Gmail за $1000 в месяц

Разработчик вредоносной программы Remus Stealer предлагает хакерам подписку за $1000 в месяц: она якобы даёт постоянный доступ к почте Gmail жертвы, и смена пароля её не останавливает. О находке сообщила компания Hudson Rock, а подробности есть в её отчёте об этом инструменте. Google пока не ответила на запрос журналистов.

Что умеет Remus Stealer

По словам исследователей, они пообщались и с автором, и с покупателем. Покупатель показал скриншоты писем, отметки времени и панель, где почтовым ящиком можно поделиться с другими «операторами». Внутри панели есть поиск по письмам, так что нужные сообщения находятся за секунды.

Главная особенность в том, что программа не крадёт cookie-файлы браузера, а именно на них держится большинство подобных атак. Доступ, по заявлению автора, переживает смену пароля, закрытие браузера и завершение сессий. Для хакера это ключ ко всему остальному: из почты приходят ссылки для сброса паролей и коды подтверждения от других сервисов.

Как это работает технически, автор не раскрыл. Он лишь сказал, что программа взаимодействует с памятью браузера. Hudson Rock считает самым вероятным такое объяснение: троян получает или создаёт повторно используемое разрешение, пока у него есть доступ к браузеру с открытым аккаунтом, а затем удалённая часть запрашивает почту, пока сервис это разрешение принимает. Подтверждения от самой Google нет, так что пока это версия исследователей.

Стоит ли волноваться

Рекламируют инструмент как решение для «корпоративных» клиентов, поэтому целью, скорее всего, станут организации и заметные люди. К тому же заражение должно произойти до того, как заработает доступ к почте: сначала на компьютере нужно запустить саму вредоносную программу. Обычному пользователю, который не ставит программы из сомнительных источников, опасаться особо нечего, но проверить аккаунт всё равно полезно.

Если есть подозрение на заражение, сначала очистите компьютер, а пароли меняйте уже с чистого устройства. Смена пароля на заражённой машине ничего не даст.

Hudson Rock советует следующее:

• изолировать подозрительный компьютер и вычистить его, прежде чем снова заходить в важные аккаунты;
• сменить скомпрометированные пароли с чистого устройства;
• открыть список устройств, где выполнен вход в аккаунт Google, и завершить незнакомые сессии, а заодно проверить доступ сторонних приложений;
• просмотреть настройки Gmail на предмет посторонних изменений, например пересылки писем на чужой адрес;
• усилить защиту остальных аккаунтов: включить двухэтапную аутентификацию в настройках безопасности Google.

Само приложение почты на телефоне — отдельная история, его страница есть в нашем каталоге: Gmail для Android.