Gmail po włamaniu. Nowe hasło, wylogowane urządzenia. Haker wciąż w środku

Zmiana hasła i wylogowanie wszystkich urządzeń to jedne z podstawowych czynności, które należy zrobić po wykryciu włamania na konto. Okazuje się jednak, że nie zawsze mogą wystarczyć. Twórcy złośliwego oprogramowania Remus twierdzą, że ich narzędzie pozwala zachować dostęp do Gmaila nawet po zmianie hasła i zakończeniu aktywnych sesji. Eksperci podchodzą jednak do tych zapewnień z ostrożnością.

Złośliwe oprogramowanie wykradające dane logowania pozostaje poważnym zagrożeniem dla użytkowników. Tak zwane infostealery potrafią przechwytywać hasła, informacje zapisane w przeglądarkach oraz inne dane. W przypadku wykrycia ataku zalecana jest zmiana hasła i zakończenie aktywnych sesji. Twórcy malware Remus przekonują jednak, że opracowali metodę pozwalającą ominąć część takich zabezpieczeń. Sprawą zainteresowała się firma Hudson Rock, która przeanalizowała informacje dotyczące najnowszej wersji oznaczonej numerem 1.3.9.

Remus ma umożliwiać dostęp do Gmaila nawet po zmianie hasła

Według twórców oprogramowania nowa funkcja pozwala otwierać przejęte konto Gmail bezpośrednio z panelu zarządzania malware. Narzędzie ma również umożliwiać przechwytywanie kodów weryfikacyjnych przesyłanych pocztą elektroniczną bez konieczności kopiowania plików cookies z przeglądarki.

Twórcy złośliwego oprogramowania Remus twierdzą, że ich narzędzie pozwala zachować dostęp do Gmaila nawet po zmianie hasła i zakończeniu aktywnych sesji.

Najbardziej niepokoi jednak to, iż oprogramowanie rzekomo utrzymuje dostęp do skrzynki po zmianie hasła oraz unieważnieniu sesji. Przedstawiciel Hudson Rock zapytał twórcę Remusa o to jak dokładnie działa to rozwiązanie. I tak malware na krótko uzyskuje dostęp do danych przechowywanych w pamięci przeglądarki, pobiera potrzebne informacje, a następnie kończy działanie. Autor narzędzia twierdzi również, że mechanizm pozwala unikać systemów wykrywania nadużyć Google.

Eksperci nie potwierdzili skuteczności nowej metody

Hudson Rock skontaktował się również z osobą, która publicznie zachwalała możliwości Remusa i deklarowała korzystanie z jego nowej funkcji. Rozmówca twierdził, że dostęp do Gmaila pozostawał aktywny nawet po zamknięciu przeglądarki, zresetowaniu sesji oraz tokenów dostępu.

Firma podkreśla jednak, że dostępne informacje nie pozwalają jednoznacznie zweryfikować skuteczności tego narzędzia. Nie wiadomo dokładnie, jakie sesje zostały unieważnione, jak skonfigurowano konto ani kiedy zmieniono hasło. Badacze nie przeprowadzili również analizy kodu malware ani kontrolowanych testów.

Co zrobić w przypadku infekcji?

Gdyby zapewnienia twórców Remusa okazały się prawdziwe, samo zmienienie hasła mogłoby nie wystarczyć do odzyskania kontroli nad kontem. Obecnie nie ma jednak pewności czy to narzędzie faktycznie działa.

Jeżeli jednak uważamy, iż nasz sprzęt został zainfekowany złośliwym oprogramowaniem trzeba odłączyć komputer od internetu i usunąć złośliwe oprogramowanie. Dopiero później należy zmienić hasła z bezpiecznego urządzenia, sprawdzić listę zalogowanych urządzeń oraz zweryfikować numery telefonu i inne metody odzyskiwania konta.