Remus Stealer wirbt mit dauerhaftem Gmail-Zugriff

Die Entwickler der Schadsoftware Remus Stealer bieten eine neue Funktion an, mit der Kriminelle die Gmail-Postfächer ihrer Opfer direkt aus dem Bedienpanel der Malware lesen können sollen. Sie kostet 1.000 US-Dollar im Monat. Der Zugriff soll laut den Anbietern auch dann bestehen bleiben, wenn das Opfer den Browser schließt, sein Google-Passwort ändert oder seine Sitzungen beendet. Untersucht hat das Angebot das israelische Sicherheitsunternehmen Hudson Rock, das auf Infostealer spezialisiert ist.

„Der Kunde behauptet, dass der Zugriff auf das Postfach auch nach dem Schließen des Browsers und sogar nach einer Änderung des Google-Passworts bestehen bleibt. Der Entwickler bezeichnet es als Gmail-‚Zero-Day’.”
Hudson Rock

Funktionsweise unklar

Anders als viele Infostealer soll Remus dafür keine Cookie-Dateien des Browsers abgreifen. Laut dem Entwickler greift die Funktion auf den Arbeitsspeicher des Browsers zu, solange die Schadsoftware läuft. Technische Details nannte er nicht. Das könnte erklären, warum Kriminelle auch nach dem Beenden der Malware weiter auf ein Postfach zugreifen können, jedoch nicht, warum der Zugriff einen Passwortwechsel überstehen soll. Gelingt das tatsächlich, könnten Angreifer auch Links zum Zurücksetzen von Passwörtern und Bestätigungscodes für andere Konten abfangen.

Kein Zero-Day nachgewiesen

Hudson Rock stuft die Funktion nicht als nachgewiesene Zero-Day-Lücke in Gmail ein. Das Unternehmen hat keinen kontrollierten Test durchgeführt, bei dem neue E-Mails nach einer Passwortänderung und dem Widerruf aller Sitzungen und App-Zugriffe noch bei Remus ankamen. Laut der Dokumentation von Google widerruft eine Passwortänderung normalerweise die Zugriffs- und Aktualisierungstokens mit Berechtigungen für Gmail. Google nennt jedoch Ausnahmen, etwa für einige Geräte und verbundene Anwendungen. Ob Remus eine solche Ausnahme ausnutzt, ist offen. Google hat sich zu den Behauptungen bislang nicht geäußert.

Erst das Gerät, dann das Konto

Betroffene sollten zunächst das infizierte Gerät bereinigen und das Passwort anschließend von einem sicheren Gerät aus ändern, da ein neues Passwort sonst erneut abgegriffen werden kann. Danach sollten sie im Google-Konto unter Sicherheit alle unbekannten Sitzungen beenden und Drittanbieter-Apps mit Kontozugriff prüfen. In Gmail sollten sie Weiterleitungen, Filter und Delegierungen kontrollieren, im Konto zudem Wiederherstellungsadresse und -telefonnummer. Laut Google lassen sich solche Angriffe mit Passkeys erschweren, da diese nicht wie Passwörter abgegriffen werden können.

(red)