Cambiare la password e disconnettere tutti i dispositivi è la prima mossa quando si sospetta che il proprio account Google sia compromesso. Ma secondo gli sviluppatori di Remus Stealer, un malware già noto per il furto di informazioni, nemmeno queste operazioni basterebbero a mettere al sicuro le email di Gmail. Una capacità che, se confermata, renderebbe molto più difficile recuperare il controllo di un account violato.
Le promesse della versione 1.3.9
Con la release 1.3.9, gli aggressori avrebbero a disposizione una nuova funzione per aprire le caselle Gmail delle vittime direttamente dal pannello di controllo del malware. Tra le capacità pubblicizzate c'è anche l'intercettazione dei codici di verifica inviati via email, senza dover recuperare i file dei cookie dal browser. L'accesso alla posta, inoltre, continuerebbe a funzionare anche dopo la modifica della password e la revoca delle sessioni attive, e sarebbe persino possibile condividere l'accesso con altri criminali informatici tramite appositi link.
Scetticismo e verifica parziale
A indagare è stata Hudson Rock, società specializzata in sicurezza informatica, che ha analizzato le funzionalità pubblicizzate e contattato direttamente lo sviluppatore. Quest'ultimo ha descritto un sistema capace di interagire brevemente con i dati in memoria del browser per recuperare le informazioni necessarie, evitando i controlli antifrode di Google. Manca però qualsiasi dettaglio tecnico verificabile. Hudson Rock ha parlato anche con una persona che aveva confermato l'efficacia della funzione, sostenendo di aver consultato la posta dopo aver chiuso il browser, ripristinato la sessione e cambiato la password: dichiarazioni, però, senza prove sufficienti.
Gli screenshot esaminati mostrano un'interfaccia per consultare i messaggi Gmail, ma non dimostrano che Remus possa leggere nuove email dopo che un account è stato completamente messo in sicurezza. Non è chiaro quali sessioni siano state revocate, quali impostazioni di sicurezza fossero attive e quanto tempo fosse trascorso tra il cambio password e l'accesso successivo. La vicenda resta quindi aperta: un monito a mantenere alta l'attenzione, ma senza allarmismi finché non arriveranno conferme indipendenti.
