Resumen:
Investigadores de ciberseguridad revelaron recientemente que un malware llamado Remus está atrayendo una atención generalizada. A diferencia de los programas sigilosos tradicionales, se descubrió que el malware podía robar tokens de autenticación asociados con las cuentas de Google, lo que permitía a los atacantes conservar el acceso a las cuentas de Gmail en algunos casos incluso después de que la víctima cambiara su contraseña.
Los investigadores señalaron que Remus es un malware que roba información y que se dirige principalmente a los usuarios del sistema Windows. Al igual que el malware común para robar contraseñas, intenta recopilar credenciales de inicio de sesión, cookies, datos de billeteras de criptomonedas y otra información confidencial guardada en el navegador. Sin embargo, su capacidad más alarmante reside en sus métodos de ataque contra el mecanismo de autenticación de la cuenta de Google.
Según el análisis, el atacante no necesita necesariamente obtener la contraseña del usuario. En cambio, Remus intenta obtener el token de autenticación utilizado en el navegador para mantener el estado de inicio de sesión. Cuando estos tokens se roban con éxito, los atacantes pueden usarlos para hacerse pasar por usuarios legítimos y acceder a cuentas relacionadas.
Los expertos en seguridad dijeron que muchos usuarios creen que siempre que cambien inmediatamente sus contraseñas después de descubrir una anomalía en su cuenta, pueden cortar por completo los derechos de acceso del intruso. Sin embargo, si el atacante tiene un token de autenticación que aún es válido, es posible que simplemente cambiar la contraseña no la invalide inmediatamente, por lo que esta advertencia de seguridad es de gran preocupación.
Los investigadores mencionaron que los operadores de Remus incluso utilizaron esta capacidad como uno de sus puntos de venta promocionales, afirmando que podían continuar accediendo a algunos servicios de Google después de que la víctima cambiara su contraseña. Aunque las afirmaciones relevantes aún deben evaluarse en el contexto de entornos de ataque reales, la comunidad de seguridad generalmente cree que este tipo de método de ataque que utiliza tokens de sesión en lugar de contraseñas tradicionales representa la tendencia de desarrollo actual de las actividades cibercriminales.
Vale la pena señalar que este tipo de ataque no significa que el mecanismo de seguridad de la cuenta de Google haya sido completamente violado. Los expertos explican que el núcleo del problema es el robo de credenciales en los dispositivos infectados. Una vez que un atacante obtiene información de autenticación válida, el sistema puede confundirlo con un usuario legítimo que ha sido autenticado.
Para reducir los riesgos, los investigadores de seguridad recomiendan que los usuarios no solo cambien las contraseñas de sus cuentas después de descubrir que sus dispositivos están infectados con malware, sino que también cierren sesión activamente en todos los dispositivos y sesiones en los que hayan iniciado sesión, verifiquen la configuración de seguridad de la cuenta y habiliten la autenticación multifactor. Al mismo tiempo, el dispositivo infectado debe escanearse y limpiarse minuciosamente para evitar que el malware siga robando nueva información de identidad.
Los expertos de la industria señalaron que con la popularidad de las funciones de sincronización del navegador, los mecanismos de inicio de sesión persistentes y los servicios en la nube, los ciberdelincuentes están cada vez más inclinados a robar datos de autenticación avanzados, como tokens de sesión, en lugar de simplemente obtener nombres de usuario y contraseñas. En comparación con los métodos tradicionales de robo de cuentas, este tipo de ataque suele ser más sutil y más difícil de detectar a tiempo para los usuarios.
Los expertos en seguridad instan a los usuarios a estar más atentos, evitar descargar software de fuentes desconocidas, descifrar herramientas o archivos adjuntos sospechosos, y actualizar los sistemas operativos y el software de seguridad de manera oportuna. Para los usuarios que sospechan que sus cuentas han sido comprometidas, además de cambiar sus contraseñas, también deben verificar su historial de inicio de sesión, revocar autorizaciones de dispositivos desconocidos y restablecer un entorno de autenticación seguro para garantizar que los atacantes no puedan continuar usando información de autenticación filtrada para acceder a sus cuentas.
Comentarios