Експерти по киберсигурност разкриват как работи новият вирус Remus Stealer

Нов зловреден софтуер, наречен Remus Stealer, позволява на киберпрестъпници да четат лични съобщения в Gmail и да запазват достъпа си до профилите дори след като жертвата смени своята парола, съобщават от компанията за киберсигурност Hudson Rock, цитирани от New York Post. Специалистите призовават потребителите незабавно да проверят настройките за сигурност и активните сесии в електронните си пощи, тъй като стандартните мерки за защита вече не са достатъчни срещу новата заплаха.

Илюзията на сменената парола

Повечето потребители вярват, че когато усетят съмнителна активност и сменят паролата си, вратата за хакерите се затваря автоматично. При новата версия 1.3.9 на програмата Remus Stealer обаче този защитен механизъм се оказва заобиколен. Програмата се рекламира активно в специализирани онлайн форуми като инструмент за постоянен неправомерен достъп до личната кореспонденция.

Според анализ на изданието Cyber Insider създателите на зловредния код са внедрили функция, чрез която престъпниците следят пощенските кутии в Gmail директно през специален контролен панел. Разработчиците твърдят, че връзката със съобщенията остава активна дори след като собственикът на профила промени паролата си в системата на Google или затвори своя интернет браузър.

Проучването на експертите от Hudson Rock показва, че хакерският инструмент функционира като платена услуга на абонаментен принцип. Срещу сумата от 1000 долара на месец клиентите на престъпната платформа получават достъп до компрометирани лични пощенски кутии и централизиран панел за управление, от който могат да преглеждат чуждите писма и дори да споделят достъпа до тях с други лица чрез специални връзки.

Как действа дигиталният капан

Remus Stealer принадлежи към категорията на така наречените програми за кражба на данни (инфостилъри), чиято основна цел е да извличат чувствителна информация, пароли и данни за вход от заразени компютри и телефони. В повечето случаи подобни вируси проникват в устройствата, когато потребителят изтегли файл, умело маскиран като легитимна програма. Към момента изследователите все още не са потвърдили по какъв точно начин новата модификация на Remus Stealer успява да зарази машините на жертвите.

Експертите от Hudson Rock са успели да се свържат директно със създателя на софтуера, както и да разговарят с клиент на платформата, който публично е потвърдил ефективността на новата функция. Потребителят на хакерския инструмент е заявил пред изследователите, че запазва пълен достъп до компрометираната поща след затваряне на браузъра и смяна на паролата, като през приложението успява да прихваща и кодове за потвърждение, изпращани от други онлайн платформи.

Създателите на вируса твърдят още, че техният инструмент прихваща верификационните кодове директно от имейлите, без да се налага класическото извличане на бисквитките от браузъра. Именно това превръща пробива в електронната поща в критична опасност за цялата дигитална самоличност на жертвата, тъй като през основния имейл адрес се получават връзките за възстановяване на пароли за банкови приложения, социални мрежи и корпоративни профили. Независимите изследователи все пак уточняват, че още не са потвърдили дали събирането на съобщения може да продължи, ако профилът бъде напълно защитен и всички активни сесии бъдат принудително прекратени.

Как да защитим пощата си ефективно

Специалистите по киберсигурност са категорични, че смяната на паролата остава задължителна първа стъпка при съмнение за пробив, но сама по себе си вече не гарантира сигурност. За да прекъснат скрития канал за достъп на хакерите, потребителите трябва да извършат пълна ревизия на настройките в своите профили.

На първо място е необходимо да се провери списъкът с активни сесии в профила в Google и незабавно да се прекрати достъпът на всички непознати или съмнителни устройства. Наред с това експертите съветват да се прегледат внимателно настройките за автоматично препращане на съобщения, създадените филтри за писма, опциите за възстановяване на достъпа, както и разрешенията, които са дадени на външни приложения на трети страни.

От технологичния гигант Google също препоръчват комбинация от нова парола и принудително излизане от всички активни устройства. Говорител на компанията, цитиран от изданието Cybernews, посочва, че откраднатите потребителски сесии могат да бъдат напълно обезсилени само когато зловредният софтуер бъде изчистен от заразеното устройство и активните връзки с профила бъдат прекратени.