Skifter du kodeord er du måske stadig udsat: Nyt malware læser din Gmail alligevel

Advarslen kommer fra den israelske cybersikkerhedsvirksomhed Hudson Rock, der 9. november offentliggjorde en analyse af en ny funktion i info-tyven Remus Stealer. For 1.000 dollar om måneden, svarende til cirka 7.000 kroner, får abonnenter angiveligt adgang til en webmail-lignende visning af ofrets indbakke, skriver Hudson Rock på sin blog Infostealers.

Funktionen findes i version 1.3.9 af malwaret og markedsføres som en del af en Enterprise-pakke. Via et kontrolpanel kan køberen bladre gennem afsendere, emnelinjer og beskeder, søge i indbakken og dele adgangen videre.

Kodeordsskifte burde gøre tokens ugyldige

Google har ikke offentligt kommenteret påstanden. Tom’s Guide oplyser, at selskabet er kontaktet men endnu ikke har svaret. Malwarebytes henviser til Googles egen dokumentation, hvoraf det fremgår, at et kodeordsskifte normalt gør adgangs- og refresh-tokens for Gmail-integrationer ugyldige. Hvis Remus reelt bevarer adgang efter et kodeordsskifte, ligger det altså uden for den normale opførsel.

Hudson Rock har talt med både udvikleren bag Remus og en kunde. Udvikleren har beskrevet, at programmet “interagerer med browserens hukommelse” og afvikler sig selv, før det afsluttes. En kunde fortæller, at adgangen fortsatte, efter at browseren var lukket, sessionen nulstillet og kodeordet skiftet.

Forskerne kunne ikke selv bekræfte påstanden

Selvom skærmbillederne viser en fungerende indbakke-læser, har Hudson Rock ikke foretaget en kontrolleret test, der beviser, at en nyligt modtaget mail stadig dukker op efter en fuld sikring af kontoen. Firmaet slår fast over for Infostealers, at analysen hverken indeholder reverse engineering af den nye funktion eller en valideret efterprøvning.

Antagelsen blandt forskerne er, at Remus på et tidspunkt stjæler et autorisations-token, mens offeret er logget på Gmail, og at en ekstern komponent genbruger dette token, så længe Google accepterer det. Men den præcise metode er ikke dokumenteret, bemærker Cyberinsider.

For danske Gmail-brugere, der opdager tegn på indbrud, er budskabet fra Hudson Rock entydigt: en ny adgangskode valgt fra den inficerede computer er ikke nok, så længe malwaret stadig kører på maskinen.

Sådan sikrer du din konto

Første skridt er at få skadelig software væk fra enheden, enten med et opdateret antivirusprogram eller ved at nulstille computeren helt. Derefter skal kodeordet skiftes fra en anden, ren enhed, og aktive sessioner trækkes tilbage via Googles side g.co/mydevices.

Hudson Rock anbefaler desuden at gennemgå indstillingerne for videresendelse, filtre og delegeret adgang i Gmail. Kriminelle lægger ofte skjulte regler ind, så post fra bestemte afsendere, typisk banker og tjenester, der sender nulstillingsmails, automatisk videresendes eller arkiveres, så ofret aldrig ser dem.

Som supplement peger flere af de rapporterende medier på passkeys og Chromes Enhanced Safe Browsing som ekstra beskyttelse. For brugere, der har været inde på mistænkelige sider eller installeret ukendte programmer, kan Googles sikkerhedstjek på myaccount.google.com/security vise, hvilke enheder og apps der aktuelt har adgang.