El malware Remus podría seguir accediendo a Gmail aunque cambies la contraseña
Un nuevo infostealer, un tipo de malware diseñado para robar información, ha vuelto a poner el foco sobre la seguridad de las cuentas de Gmail. Se trata de Remus, una amenaza cuyos desarrolladores aseguran que puede mantener el acceso a un buzón incluso después de que la víctima cambie la contraseña o cierre las sesiones abiertas.
La afirmación es especialmente preocupante porque las contraseñas suelen ser la primera medida de respuesta cuando una persona sospecha que su correo ha sido comprometido. Sin embargo, los investigadores que han examinado el funcionamiento de Remus advierten de que algunas de las capacidades anunciadas por sus creadores todavía no cuentan con pruebas técnicas suficientes.
Un acceso persistente a Gmail que no está confirmado
La versión más reciente de Remus se presenta como una herramienta capaz de acceder a cuentas de Gmail desde una aplicación de escritorio con una interfaz similar a la de un cliente de correo convencional. De este modo, los ciberdelincuentes podrían consultar el contenido de una cuenta comprometida sin depender necesariamente de volver a introducir la contraseña.
Sus responsables también sostienen que el malware puede conservar ese acceso aunque el usuario cambie sus credenciales y cierre todas las sesiones activas. Si esta capacidad funcionase tal y como se anuncia, supondría un nivel de persistencia muy elevado y complicaría notablemente la recuperación de una cuenta.
No obstante, los análisis disponibles no permiten confirmar que Remus esté aprovechando una vulnerabilidad de día cero en Gmail. Este término describe un fallo de seguridad desconocido hasta ese momento por el fabricante y para el que todavía no existe un parche. Una brecha de ese tipo tendría un impacto considerable, pero no hay evidencias públicas suficientes para afirmar que sea el caso.
Cómo podría funcionar el malware
La hipótesis que parece más razonable es que Remus aproveche una autorización reutilizable asociada a un navegador que ya tiene una sesión iniciada. En lugar de robar únicamente la contraseña, el malware podría intentar utilizar información temporal que permite a una página web reconocer al usuario y mantener su sesión activa.
Estas autorizaciones pueden estar relacionadas con tokens de sesión, pequeños datos digitales que acreditan que una persona ya ha iniciado sesión. Si un atacante consigue utilizarlos, podría acceder a determinados servicios sin conocer la contraseña original, al menos mientras esa autorización siga siendo válida.
Los creadores de Remus aseguran que el programa interactúa durante un breve periodo con la memoria del navegador para obtener la información necesaria. También niegan que su herramienta recopile o clone las cookies del navegador, que son archivos empleados para conservar sesiones y preferencias, y aseguran que no intercepta los códigos de verificación.
Estas explicaciones no han sido acompañadas de detalles técnicos verificables. Además, los responsables del malware se habrían negado a explicar con precisión el mecanismo utilizado, alegando que esa información facilitaría el desarrollo de una solución por parte de los equipos de seguridad.
La inteligencia artificial acelera la evolución de las amenazas
El caso se enmarca en una tendencia más amplia. Las herramientas de inteligencia artificial generativa permiten automatizar tareas que antes requerían conocimientos especializados, como la creación de código malicioso, la redacción de mensajes de phishing o la adaptación de una amenaza para evitar determinados sistemas de detección.
Un infostealer no tiene por qué limitarse a robar contraseñas. También puede buscar credenciales guardadas en el navegador, datos de tarjetas, documentos, claves de criptomonedas, información de aplicaciones de mensajería y elementos relacionados con sesiones abiertas. Por eso, cambiar la contraseña no siempre basta si el dispositivo sigue infectado.
La supuesta capacidad de Remus para esquivar las tecnologías antifraude de Google es otra de las afirmaciones que deben interpretarse con cautela. Que una amenaza pueda actuar durante un tiempo sin activar todas las alertas no significa necesariamente que haya descubierto un fallo estructural en Gmail.
Qué hacer si sospechas que tu cuenta está comprometida
Ante una posible infección, conviene actuar desde un dispositivo limpio y no desde el ordenador o móvil que pueda estar afectado. La prioridad debe ser cortar el acceso del malware y revisar todos los métodos de autenticación vinculados a la cuenta.
- Cambia la contraseña desde un equipo de confianza y utiliza una clave exclusiva, larga y difícil de reutilizar en otros servicios.
- Activa la verificación en dos pasos. Añade una segunda comprobación, como una aplicación de autenticación o una llave física, además de la contraseña.
- Revisa las sesiones abiertas y elimina los dispositivos que no reconozcas desde la configuración de seguridad de la cuenta de Google.
- Comprueba las aplicaciones y servicios autorizados para retirar permisos que no sean necesarios o que resulten sospechosos.
- Analiza el dispositivo con una herramienta de seguridad actualizada y considera reinstalar el sistema si hay indicios claros de infección.
- Utiliza passkeys cuando sea posible. Estas llaves de acceso emplean criptografía vinculada al dispositivo y reducen la dependencia de las contraseñas tradicionales.
También es recomendable comprobar si el buzón contiene reglas de reenvío, filtros o respuestas automáticas que no hayas creado. Los atacantes pueden modificar estos ajustes para recibir copias de los mensajes o mantener una vía de acceso discreta.
Por ahora, no hay pruebas concluyentes de que Remus pueda superar de forma generalizada el cambio de contraseña y el cierre de sesiones de Gmail. Aun así, el episodio recuerda que proteger una cuenta no consiste únicamente en cambiar la clave: la seguridad del dispositivo, las sesiones activas y los permisos concedidos son igualmente importantes.
