Un nuevo malware permite el acceso persistente a cuentas de Gmail

Se ha detectado un software malicioso diseñado para el robo de datos que posee una capacidad alarmante: permite que los atacantes sigan leyendo los correos de Gmail de sus víctimas, aunque estas hayan cambiado la contraseña de su cuenta.

Los ciberdelincuentes siguen perfeccionando sus herramientas para sacar más partido a las cuentas comprometidas. Ahora, una investigación de la firma de ciberseguridad Hudson Rock ha puesto el foco sobre Remus Stealer, un malware especializado en el robo de información que presume de ofrecer acceso continuado a bandejas de entrada de Gmail incluso después de que la infección inicial haya terminado.

Según el informe, una de las funciones más recientes de Remus Stealer permite a los atacantes visualizar correos robados desde un panel dedicado con apariencia similar a un cliente de correo electrónico. En las capturas analizadas se observan listas de mensajes, remitentes, fechas, búsquedas e incluso el contenido de los emails, facilitando el acceso a información sensible almacenada en la cuenta comprometida.

Una nueva vía de explotación para las cuentas robadas

El hallazgo resulta preocupante porque los correos electrónicos suelen contener enlaces de recuperación de contraseñas, códigos de verificación y otra información que puede abrir la puerta a servicios adicionales. De esta forma, una única cuenta de Gmail comprometida podría convertirse en el punto de partida para acceder a múltiples plataformas asociadas al usuario.

Hudson Rock investigó la versión 1.3.9 de Remus Stealer e incluso llegó a mantener conversaciones tanto con el desarrollador de la herramienta como con uno de sus clientes. Según la información recopilada, esta funcionalidad estaría disponible únicamente para los suscriptores del plan Enterprise del malware, cuyo coste anunciado alcanza los 1.000 dólares mensuales.

A pesar de lo llamativo de la afirmación, los investigadores destacan que todavía no se ha demostrado de forma concluyente que los atacantes puedan seguir recibiendo nuevos correos después de que la víctima recupere completamente su cuenta.

El desarrollador asegura que la función aprovecha información obtenida de la memoria del navegador antes de que el malware finalice su ejecución. Además, uno de los usuarios de Remus Stealer afirmó que el acceso al buzón continuaba incluso tras cerrar el navegador y cambiar la contraseña de Google. Sin embargo, Hudson Rock no logró verificar esta afirmación mediante pruebas controladas.

Los expertos creen que el malware podría estar reutilizando permisos de autorización obtenidos durante la infección original del dispositivo, aunque el mecanismo exacto sigue sin estar claro.

La investigación también recuerda que, en condiciones normales, Google revoca los tokens de acceso y las autorizaciones relacionadas con Gmail cuando un usuario cambia su contraseña.

Los usuarios que sospechen de una posible infección deberían revisar los dispositivos conectados a su cuenta, revocar accesos de aplicaciones desconocidas y comprobar las reglas de reenvío y los datos de recuperación asociados al correo.