Malware que lê e-mails do Gmail mantém acesso mesmo após usuário desconectar conta

Um novo malware chamado Remus Stealer consegue manter o acesso à caixa de entrada do Gmail mesmo após a vítima trocar a senha, fechar o navegador ou desconectar os dispositivos da conta. A ferramenta do tipo infostealer é comercializada por cibercriminosos por US$ 1.000 mensais e promete acesso contínuo às mensagens de contas comprometidas.

Segundo um relatório da empresa de cibersegurança Hudson Rock, o programa utiliza uma técnica que manipula a memória do navegador e contorna os mecanismos de segurança do Google. Em vez de roubar cookies tradicionais, a principal hipótese dos pesquisadores é que o malware obtenha uma autorização reutilizável a partir de uma sessão ativa do Gmail. 

Com isso, um componente remoto continua solicitando novas mensagens aos servidores do Google mesmo se o computador for desligado ou se os acessos forem revogados. Os pesquisadores ressalvam, contudo, que os detalhes exatos de como o invasor contorna as verificações antifraude não foram revelados pelo desenvolvedor.

Para demonstrar o funcionamento da ferramenta, a Hudson Rock entrou em contato com o desenvolvedor do malware e um de seus compradores. O criminoso compartilhou capturas de tela do painel de controle, que mostravam mensagens roubadas em tempo real, registros de data e hora e opções para compartilhar o acesso à caixa de entrada com outros invasores. O painel também conta com uma ferramenta de busca que facilita a localização de termos confidenciais e mensagens específicas entre os e-mails interceptados.

A ferramenta só funciona quando a conta de e-mail já foi comprometida e é comercializada com foco no mercado corporativo. Por isso, organizações e pessoas com acesso a informações importantes podem ser alvos desse tipo de ataque. Além disso, o acesso contínuo ao Gmail também coloca outras contas em risco, já que os invasores conseguem interceptar códigos de verificação e links de recuperação de senha usados em serviços vinculados ao endereço comprometido.

O site Tom's Guide também procurou o Google para comentar a exploração, mas ainda aguarda uma resposta. Caso a eficácia da ferramenta seja confirmada, a expectativa é que a empresa desenvolva e implemente novas barreiras de proteção no Gmail para impedir esse tipo de acesso persistente.

Como se proteger do Remus Stealer?

Quem suspeitar de uma infecção deve tomar algumas medidas para impedir que os criminosos continuem acessando suas contas: 

• Isole o computador infectado: desconecte o dispositivo da internet e faça uma verificação completa com um antivírus confiável. Evite acessar contas importantes pela máquina até concluir a limpeza;

• Troque as senhas em outro dispositivo: use um computador ou celular confiável para alterar as credenciais das contas comprometidas;

• Revise os acessos à conta Google: confira a lista de dispositivos conectados, encerre sessões desconhecidas e remova as permissões de aplicativos de terceiros que não reconhece;

• Verifique as configurações do Gmail: procure alterações não autorizadas, principalmente regras de encaminhamento automático que possam enviar cópias das mensagens para endereços controlados pelos invasores;

• Proteja outras contas: altere as senhas de serviços que usam o Gmail para recuperação de acesso ou envio de códigos de verificação;

• Desconfie de mensagens suspeitas: confira o endereço do remetente e tenha cuidado com e-mails que pressionam o usuário a clicar em links ou baixar arquivos;

• Mantenha o antivírus atualizado: use um programa de proteção atualizado no computador para identificar arquivos maliciosos antes que eles comprometam o sistema.

Se você gostou do conteúdo, talvez também se interesse por conferir “5 truques para deixar o Gmail mais seguro mesmo se não foi alvo de ataque hacker”.