Un nuevo malware llamado Remus encendió las alertas entre los especialistas en ciberseguridad por una característica que podría poner en riesgo las cuentas de Gmail: mantener el acceso al correo electrónico incluso después de que la víctima cambie su contraseña o cierre las sesiones abiertas. El software malicioso pertenece a la categoría de los infostealers, programas diseñados para robar información almacenada en dispositivos y navegadores.
La advertencia fue difundida por investigadores de Hudson Rock, quienes analizaron la versión más reciente de Remus después de que sus desarrolladores promocionaran una función de acceso persistente a cuentas de Google. Según reportó Neowin, los creadores del malware aseguran que pueden consultar el contenido de un Gmail comprometido desde una aplicación de escritorio con una interfaz similar a la de un cliente de correo convencional.
Sin embargo, los especialistas advierten que algunas de estas afirmaciones deben tomarse con cautela. Hasta el momento, no se han presentado suficientes pruebas técnicas que permitan confirmar que Remus explota una vulnerabilidad desconocida de Google o que pueda conservar el acceso a una cuenta bajo cualquier circunstancia.
Cómo funciona el malware Remus y por qué preocupa a los expertos
Los desarrolladores de Remus aseguran que su herramienta puede mantener el acceso a una cuenta de Gmail aunque el usuario cambie su contraseña o cierre las sesiones activas desde la configuración de Google.
Para conocer el funcionamiento de esta característica, los investigadores de Hudson Rock consultaron directamente a los responsables del software malicioso. No obstante, estos se negaron a proporcionar detalles técnicos que permitieran identificar con precisión el mecanismo utilizado.
Los creadores indicaron que Remus puede interactuar brevemente con la memoria del navegador para recuperar información almacenada y mantener el acceso a la cuenta comprometida. También afirmaron que su herramienta evita las tecnologías antifraude de Google y que no necesita copiar las cookies del navegador ni interceptar los códigos de verificación.
Esta última característica resulta especialmente relevante porque las cookies y otros datos de autenticación permiten que los usuarios permanezcan conectados a sus cuentas sin tener que introducir sus credenciales cada vez que ingresan a un servicio.
Si un atacante consigue apropiarse de información que mantiene una sesión autenticada, podría utilizarla para acceder a determinados servicios sin conocer necesariamente la contraseña. Por eso, cambiar la clave no siempre es suficiente cuando también existe un problema con las sesiones o los mecanismos de autorización.
¿Remus aprovecha una vulnerabilidad de Gmail?
Aunque los responsables del malware presentan su función como una capacidad avanzada, los investigadores de ciberseguridad no consideran demostrado que exista una vulnerabilidad de día cero en Gmail.
Este tipo de fallo, conocido también como zero-day, es una brecha de seguridad que los desarrolladores del servicio todavía no conocen o para la que no existe una solución disponible al momento de ser aprovechada por los atacantes.
En el caso de Remus, la información técnica difundida hasta ahora no permite confirmar que Google tenga una falla de ese tipo. Una explicación considerada más plausible es que el programa aproveche autorizaciones reutilizables vinculadas a un navegador que todavía conserva una sesión iniciada.
Esto significa que el acceso persistente podría depender de las condiciones en las que se encuentre el navegador y de los mecanismos de autenticación que permanezcan activos. Por lo tanto, no necesariamente implicaría que el malware pueda ingresar indefinidamente a cualquier cuenta, incluso después de que se revoquen todos los permisos y sesiones comprometidos.
La diferencia es importante: una cosa es explotar una vulnerabilidad desconocida de Gmail y otra es aprovechar información de autenticación que un atacante consiguió robar previamente.
Cómo proteger una cuenta de Gmail frente a este tipo de malware
Ante amenazas como Remus, los usuarios deben considerar medidas adicionales a la modificación de sus contraseñas. Si existe la sospecha de que una cuenta fue comprometida, es importante revisar los dispositivos conectados y cerrar las sesiones que no se reconozcan.
También se recomienda activar la verificación en dos pasos, que agrega una comprobación adicional al momento de iniciar sesión, y utilizar llaves de acceso o passkeys, una alternativa que permite autenticarse mediante mecanismos como el reconocimiento biométrico o el PIN del dispositivo.
Además, es conveniente evitar descargar archivos de procedencia desconocida, instalar programas desde sitios no oficiales y abrir enlaces sospechosos recibidos por correo electrónico.
Aunque todavía no está demostrado que Remus pueda conservar el acceso a Gmail en todos los escenarios que promocionan sus desarrolladores, el caso muestra por qué proteger una cuenta requiere algo más que utilizar una contraseña segura. La gestión de las sesiones, los permisos y los métodos de autenticación también forma parte de la seguridad digital.
Fuente: infobae.com
