Пользователей Gmail предупреждают о тревожной новой хакерской угрозе, которая может позволить киберпреступникам тайно получать доступ к их личным сообщениям.
Вредоносное программное обеспечение под названием Remus Stealer рекламируется на подпольных хакерских форумах как инструмент, который якобы позволяет киберпреступникам просматривать входящие сообщения жертв в Gmail, читать личные письма и перехватывать коды безопасности, используемые для доступа к другим онлайн-аккаунтам.
Ещё более тревожно то, что хакеры утверждают, будто могут продолжать читать сообщения после того, как жертвы меняют пароль Google или закрывают браузеры, — потенциально оставляя пользователей в неведении о том, что их аккаунты остаются скомпрометированными.
Угроза выходит за пределы личных писем: украденные ссылки для сброса пароля и коды подтверждения потенциально могут дать преступникам доступ к банковским счетам жертв, профилям в соцсетях и другим онлайн-сервисам.
Киберпреступники рекламируют программное обеспечение в рамках подписки стоимостью 1000 долларов в месяц, предлагая панель управления, где можно просматривать письма из скомпрометированных аккаунтов и делиться доступом к почтовому ящику с другими хакерами.
Исследователи кибербезопасности из Hudson Rock изучили эти заявления, проанализировав рекламные материалы и поговорив с разработчиком вредоноса и человеком, который утверждал, что пользовался сервисом.
Google посоветовал затронутым пользователям действовать немедленно: сменить пароли и отозвать подозрительные сеансы входа. «Пользователи могут аннулировать украденные сеансы, удалив вредоносное ПО с затронутого устройства и отозвав активные сеансы», — заявил представитель Google изданию Cybernews.
Hudson Rock также предупредил, что смена пароля необходима, но может быть недостаточной, если хакеры нашли другие способы доступа к аккаунту.
Исследователи обнаружили скриншоты с интерфейсом, отображающим письма, информацию об отправителе, временные метки и функции поиска, что указывает на то, что рекламируемый инструмент предназначен для раскрытия целых почтовых ящиков, а не только отдельных кодов безопасности.
Однако Hudson Rock подчеркнул, что не проверял независимо, могут ли хакеры продолжать получать доступ к новым сообщениям после того, как жертвы полностью защитят свои аккаунты.
Google оспорил предположения о том, что вредонос эксплуатирует ранее неизвестную уязвимость в Gmail.
«Здесь нет никакой уязвимости Gmail или Google», — заявил представитель Google изданию Cybernews. The Daily Mail обратилась к Google за комментарием.
Компания пояснила, что атаки с использованием вредоносного ПО, предназначенного для кражи сеансов входа, не новы, и что она регулярно обновляет свои средства защиты.
Исследователи полагают, что преступники могут получать информацию с заражённых компьютеров, пока их владельцы авторизованы в Gmail.
Разработчик вредоноса сообщил Hudson Rock, что программное обеспечение взаимодействует с памятью браузера перед завершением работы, что потенциально позволяет преступникам удалённо извлекать сообщения после остановки программы.
Однако исследователи не подтвердили независимо, как работает эта функция.
Вредоносное ПО класса infostealer предназначено для сбора конфиденциальной информации, включая пароли и учётные данные для входа, с заражённых компьютеров.
Такие заражения могут происходить через вредоносные загрузки, замаскированные под легитимные программы, хотя исследователи не установили, как именно Remus заражает жертв.
Человек, утверждавший, что пользовался сервисом, рассказал Hudson Rock, что доступ к почтовому ящику сохранялся после закрытия браузера и смены пароля Google.
Источник также утверждал, что через инструмент можно просматривать сообщения с кодами подтверждения от различных онлайн-сервисов.
Однако исследователи не проверили, могут ли хакеры получать новые письма после того, как жертвы полностью защитят свои аккаунты и отзовут несанкционированный доступ.
Если эти заявления подтвердятся, преступники смогут перехватывать финансовую информацию, личную переписку и ссылки для сброса паролей, используемые для доступа к другим аккаунтам.
Например, хакер, перехвативший письмо с кодом подтверждения, потенциально может использовать его для доступа к аккаунту жертвы в интернет-магазине или соцсети — в зависимости от уровня защиты.
Рабочие письма с конфиденциальными документами и финансовыми записями также могут оказаться под угрозой.
Hudson Rock предупредил, что рекламируемая функция обмена может позволить нескольким преступникам получить доступ к одному и тому же скомпрометированному ящику.
Однако имеющиеся доказательства не подтверждают, что инструмент способен обойти все меры безопасности или сохранять доступ бесконечно.
Hudson Rock рекомендовал изолировать заражённые компьютеры и менять скомпрометированные пароли с другого, безопасного устройства.
Пользователям также следует проверить устройства, на которых выполнен вход, отозвать подозрительные сеансы и удалить несанкционированные разрешения сторонних приложений.
Исследователи призвали пользователей Gmail проверить подозрительные изменения в переадресации почты, фильтрах, настройках восстановления аккаунта и разрешениях, выданных другим пользователям.
Жертвам также следует защитить банковские, торговые и социальные аккаунты, которые используют адрес Gmail для сброса пароля или подтверждения.
Google дополнительно рекомендует включить Enhanced Safe Browsing в Chrome, чтобы блокировать вредоносные загрузки, и использовать passkeys для более надёжной защиты аккаунта.
Эксперты по кибербезопасности отмечают, что главная опасность таких угроз — не сама кража переписки, а цепочка последствий: получив доступ к почте, злоумышленник может перехватить восстановление паролей от банковских сервисов, госуслуг и рабочих аккаунтов, а также использовать доверие к адресу жертвы для фишинговых атак на её контакты. Поскольку Remus Stealer рекламируется по подписке, это свидетельствует о формировании целого рынка «доступа как услуги», где один и тот же взломанный ящик могут использовать несколько преступников одновременно. Специалисты подчёркивают: даже если заявления разработчика о «сохранении доступа после смены пароля» преувеличены, базовая гигиена безопасности — уникальные пароли, двухфакторная аутентификация, регулярная проверка активных сессий и разрешений приложений — остаётся единственным надёжным способом защитить почту, которая давно стала «ключом» ко всей цифровой жизни человека.
Источники: The Daily Mail, Cybernews, Hudson Rock, Google.
Ваш комментарий