Malware que lê e-mails do Gmail mantém acesso mesmo após usuário desconectar conta

Um novo malware chamado Remus Stealer consegue manter o acesso à caixa de entrada do Gmail mesmo após a vítima trocar a senha, fechar o navegador ou desconectar os dispositivos da conta. A ferramenta do tipo infostealer é comercializada por cibercriminosos por US$ 1.000 mensais e promete acesso contínuo às mensagens de contas comprometidas.

Segundo um relatório da empresa de cibersegurança Hudson Rock, o programa utiliza uma técnica que manipula a memória do navegador e contorna os mecanismos de segurança do Google. Em vez de roubar cookies tradicionais, a principal hipótese dos pesquisadores é que o malware obtenha uma autorização reutilizável a partir de uma sessão ativa do Gmail. 

Com isso, um componente remoto continua solicitando novas mensagens aos servidores do Google mesmo se o computador for desligado ou se os acessos forem revogados. Os pesquisadores ressalvam, contudo, que os detalhes exatos de como o invasor contorna as verificações antifraude não foram revelados pelo desenvolvedor.

Para demonstrar o funcionamento da ferramenta, a Hudson Rock entrou em contato com o desenvolvedor do malware e um de seus compradores. O criminoso compartilhou capturas de tela do painel de controle, que mostravam mensagens roubadas em tempo real, registros de data e hora e opções para compartilhar o acesso à caixa de entrada com outros invasores.