Un nuevo malware, identificado como Remus, encendió las alertas entre los especialistas en ciberseguridad por una posible capacidad de persistencia en cuentas de Google. Clasificado en la familia de los infostealers, su objetivo es extraer información almacenada en dispositivos y navegadores.
La advertencia fue difundida por investigadores de Hudson Rock tras analizar la versión más reciente de Remus, poco después de que sus creadores promocionaran una función de acceso persistente a cuentas de Google. Según un informe de Neowin, los desarrolladores afirman que podrían consultar el contenido de un Gmail comprometido desde una aplicación de escritorio con interfaz semejante a la de un cliente de correo tradicional.
A la vez, los especialistas señalan que estas afirmaciones deben tomarse con cautela. Hasta ahora no hay pruebas técnicas suficientes que demuestren que Remus explota una vulnerabilidad zero-day de Google ni que pueda mantener el acceso a una cuenta en todas las circunstancias.
Los responsables de Remus sostienen que la herramienta puede conservar la sesión de Gmail incluso si el usuario cambia la contraseña o cierra las sesiones desde la configuración de Google. Para entender el funcionamiento de esa capacidad, Hudson Rock consultó directamente a los desarrolladores, quienes se negaron a proporcionar detalles técnicos que permitan identificar con precisión el mecanismo utilizado.
Entre los señalamientos, dijeron que Remus podría interactuar brevemente con la memoria del navegador para recuperar información almacenada y mantener la cuenta comprometida. También indicaron que el malware evita las tecnologías antifraude de Google y que no sería necesario copiar cookies ni interceptar códigos de verificación.
Qué implica esto es relevante porque, si un atacante logra obtener información que mantenga una sesión autenticada, podría acceder a ciertos servicios sin necesidad de la contraseña. Por ello, cambios de clave aislados podrían no ser suficientes si persisten fallas en las sesiones o en los mecanismos de autorización.
Aunque los creadores presentan la funcionalidad como una capacidad avanzada, la comunidad de ciberseguridad no ha probado de forma concluyente la existencia de una vulnerabilidad de día cero en Gmail.
Un día cero implica una brecha de seguridad desconocida para los desarrolladores y la empresa, y, por el momento, no hay evidencias técnicas que certifiquen su existencia en este caso. Mientras se aclaran los hechos, expertos recomiendan revisar regularmente las sesiones activas y los dispositivos conectados, y mantenerse alerta ante señales de actividad no reconocida en las cuentas.
