El infostealer cobra hasta $1.000 mensuales por una función que supuestamente sobrevive a revocaciones de sesión, pero ningún laboratorio independiente reprodujo el mecanismo.
Un desarrollador de malware está comercializando una función de acceso persistente a buzones de Gmail que, según su promoción, mantiene la lectura de correos incluso después de que la víctima cambie su contraseña y revoque sesiones activas. La firma de ciberseguridad Hudson Rock reportó que Remus Stealer versión 1.3.9 incluye esta capacidad en su tier Enterprise, con un precio de $1.000 por mes, y que el operador del malware afirma que el acceso continúa tras el cierre del navegador y la revocación de sesiones. Hudson Rock conversó con el desarrollador y con un cliente que proporcionó capturas de pantalla de mensajes, marcas de tiempo y controles para compartir buzones ya comprometidos con otros operadores. Sin embargo, la firma no ha realizado una prueba controlada que demuestre que la herramienta puede leer correos nuevos después de un cambio de contraseña completo y revocación de acceso de terceros.
Tres tiers de suscripción y una función sin mecanismo público
Remus Stealer se ofrece como malware-as-a-service en tres niveles: Basic a $250 mensuales, Pro a $500 y Enterprise a $1.000. La función de buzón persistente está reservada exclusivamente para el tier más caro. Según el material promocional de la versión 1.3.9, la herramienta permite interceptar códigos de verificación por correo sin recolectar archivos de cookies del navegador, y sostiene que los cambios de contraseña y la revocación de sesiones no detienen el acceso. La característica Enterprise también incluye enlaces de buzones compartibles, que permiten a un operador transferir el acceso a un buzón ya comprometido a otros criminales sin necesidad de reinfectar el dispositivo de la víctima.
El desarrollador afirmó a Hudson Rock que Remus interactúa con la memoria del navegador, pero no explicó cómo esa interacción podría mantener acceso después de que Google invalide las sesiones activas. Hudson Rock especula que el malware podría obtener o crear un token de autorización mientras la víctima está conectada a Gmail, y que un componente remoto usaría ese token para acceder a los correos incluso después de que el malware deje de ejecutarse, siempre que Google continúe aceptándolo. Esta hipótesis no ha sido confirmada técnicamente ni reproducida por un laboratorio independiente.
Un precedente de finales de 2023 que no es prueba de este caso
En finales de 2023, un desarrollador llamado PRISMA presentó un exploit que regeneraba cookies persistentes de Google manipulando un par de token e ID de cuenta, lo que permitía mantener acceso después de un cambio de contraseña. El infostealer Lumma posteriormente utilizó esa técnica. Este antecedente muestra que mecanismos de persistencia en servicios de Google han existido, pero no constituye evidencia de que Remus Stealer emplee el mismo método o uno equivalente. El desarrollador de Remus describe la función como un zero-day de Gmail, pero esa afirmación no ha sido reproducida independientemente ni verificada por ningún equipo de investigación externo a Hudson Rock.
Hudson Rock no ha confirmado que la herramienta pueda mantener acceso después de un cambio de contraseña, ni ha establecido que la función explote una vulnerabilidad específica de Gmail. La firma tampoco ha mostrado que Remus pueda acceder a correos recién recibidos después de que la víctima cambie su contraseña, revoque sesiones existentes y elimine acceso de terceros en un entorno controlado. La evidencia disponible consiste en capturas de pantalla proporcionadas por un cliente del malware y en las declaraciones del desarrollador, no en una demostración técnica independiente.
Riesgo de escalada a otras cuentas y exposición en organizaciones latinoamericanas
Si las afirmaciones del desarrollador fueran ciertas, el riesgo se extiende más allá de un solo buzón de Gmail. Los atacantes podrían leer enlaces de restablecimiento de contraseña y códigos de verificación, lo que les permitiría acceder a otras cuentas vinculadas a esa dirección de correo. Esto convierte a Gmail en un objetivo de alto valor porque muchos servicios en línea lo utilizan para recuperación de cuentas. En América Latina, donde organizaciones de sectores financiero, energético y gubernamental dependen de Gmail para comunicación corporativa y autenticación multifactor basada en correo, la exposición potencial es estructural: un buzón comprometido podría servir como punto de entrada a sistemas internos sin que el cambio de contraseña detenga el acceso, si la función opera como se promociona.
La característica de buzones compartibles agrega una capa de riesgo operativo: un operador que haya comprometido un buzón en una organización brasileña o mexicana podría transferir ese acceso a otros criminales sin necesidad de reinfectar el dispositivo original, lo que dificulta la atribución y la respuesta a incidentes. Hudson Rock recomienda que las víctimas desconecten y limpien el equipo infectado antes de acceder nuevamente a cuentas de confianza, cambien contraseñas comprometidas desde un dispositivo limpio, revisen dispositivos con sesión iniciada para eliminar sesiones sospechosas y acceso de terceros, y verifiquen configuraciones de Gmail en busca de cambios no autorizados.
Nuestro análisis
Remus Stealer representa un caso donde la comercialización de una capacidad técnica avanza más rápido que la verificación independiente de esa capacidad. El tier Enterprise a $1.000 mensuales y la existencia de capturas de pantalla de clientes indican que hay un mercado dispuesto a pagar por la promesa de persistencia, pero la ausencia de una prueba controlada que demuestre acceso a correos nuevos después de un cambio de contraseña completo deja la afirmación en el terreno de la promoción comercial, no de la vulnerabilidad confirmada. El precedente de PRISMA en 2023 muestra que mecanismos de persistencia en servicios de Google han sido explotados antes, pero no establece que Remus use el mismo método ni que Google no haya mitigado esa vía desde entonces.
Lo que sí está confirmado es que Remus requiere infección previa del dispositivo de la víctima para comprometer el buzón, lo que limita el alcance a ataques dirigidos contra organizaciones y perfiles de alto valor, no a campañas masivas. Hudson Rock continúa tratando el cambio de contraseña de Google como un paso esencial de recuperación, lo que sugiere que la firma no considera la persistencia como absoluta o que reconoce que otros vectores de acceso podrían estar en juego. La pregunta que queda abierta es si Google introducirá protecciones adicionales antes de que una demostración técnica independiente confirme o descarte la capacidad promocionada, o si la falta de evidencia pública terminará por erosionar la credibilidad comercial de Remus en un mercado donde la reputación técnica es moneda de cambio.