In questo articolo Indice dei contenuti 2 sezioni
Quando si sospetta che il proprio account Google sia stato violato, la prima mossa consigliata è cambiare la password e disconnettere tutti i dispositivi collegati. Un malware chiamato Remus Stealer potrebbe però riuscire a conservare l’accesso alle email di Gmail anche dopo queste contromisure, almeno secondo quanto affermano i suoi stessi sviluppatori. Se questa capacità venisse confermata, riprendere il controllo di una casella compromessa diventerebbe decisamente più complicato.
Ad approfondire la questione è stata Hudson Rock, società specializzata in sicurezza informatica, che ha passato in rassegna le funzionalità pubblicizzate dagli autori del software e ha contattato direttamente alcune persone coinvolte nella sua diffusione. Il quadro emerso, va detto subito, non permette ancora di confermare tutte le promesse fatte da chi ha creato il programma.
Remus Stealer e il cambio password aggirato
Con la versione 1.3.9 di Remus Stealer, i criminali avrebbero a disposizione una nuova funzione che consente di aprire le caselle Gmail delle vittime direttamente dal pannello di controllo del malware. Almeno è questo ciò che garantiscono gli sviluppatori di uno strumento già noto per la sua capacità di sottrarre informazioni dai dispositivi infetti.
L’elenco delle funzioni sbandierate non si ferma qui. Il software sarebbe in grado di intercettare i codici di verifica inviati per posta elettronica senza dover recuperare i file dei cookie dal browser. L’accesso alla casella, poi, resterebbe attivo anche dopo la modifica della password e la revoca delle sessioni aperte. E c’è di più, perché sarebbe possibile perfino condividere l’accesso agli account compromessi con altri malintenzionati tramite appositi link.
Per capire come tutto questo possa funzionare, i ricercatori hanno parlato direttamente con lo sviluppatore. Il quale ha descritto un sistema capace di interagire per pochi istanti con i dati presenti nella memoria del browser, raccogliere le informazioni necessarie e poi terminare la propria esecuzione. Sempre a suo dire, questa tecnica permetterebbe anche di sfuggire ai controlli antifrode di Google, ma i dettagli tecnici forniti non sono stati sufficienti per verificare un’affermazione del genere.
Cosa hanno trovato davvero i ricercatori
Gli esperti di Hudson Rock sono riusciti a mettersi in contatto anche con una persona che aveva confermato pubblicamente l’efficacia della nuova funzione. Questa ha raccontato di aver consultato la posta elettronica di un account anche dopo aver chiuso il browser, ripristinato la sessione e modificato la password del profilo Google. Il problema è che queste dichiarazioni non sono supportate da prove convincenti. Non si sa con precisione quali sessioni siano state effettivamente revocate, quali impostazioni di sicurezza fossero attive e quanto tempo sia passato tra il cambio delle credenziali e il successivo accesso alla casella.
Anche il materiale visivo lascia diversi dubbi. Gli screenshot analizzati mostrano in effetti un’interfaccia pensata per consultare i messaggi di Gmail, ma non dimostrano che Remus Stealer sia in grado di leggere nuove email una volta che l’account è stato messo completamente in sicurezza.
Fonte: TecnoAndroid