Los investigadores de Hudson Rock probaron la versión más reciente de Remus, un infostealer cuyos creadores aseguran que mantiene el acceso a una cuenta de Gmail aunque la víctima cambie la contraseña o cierre todas sus sesiones. Importa porque pone en duda el primer reflejo de cualquier usuario o administrador: cambiar la clave y dar el asunto por cerrado.
Conviene separar desde el principio lo que se sabe de lo que se anuncia. Hipertextual recoge el caso a partir de lo que publicó Neowin. La promesa de persistencia sale de los propios desarrolladores del malware, no de una verificación independiente.
Lo que promete Remus y lo que nadie ha demostrado
Según Hipertextual, los creadores de Remus sostienen que su herramienta da acceso a un Gmail comprometido desde una aplicación de escritorio. La interfaz sería parecida a la de un cliente de correo convencional.
También afirman que ese acceso sobrevive a un cambio de contraseña y al cierre de todas las sesiones activas. Añaden que su infostealer es capaz de evadir las tecnologías antifraude de Google.
Sobre el mecanismo, dicen que Remus interactúa brevemente con la memoria del navegador para acceder a la información almacenada allí. Aseguran que no recolecta ni clona cookies para interceptar códigos de verificación.
Cuando los investigadores de Hudson Rock les preguntaron cómo funcionaba esa persistencia, los desarrolladores se negaron a dar detalles que permitieran cerrar la brecha. Es una conducta coherente con la de quien vende un producto: la publicidad sin pruebas técnicas.
Por qué los analistas no creen en un fallo de día cero
Los especialistas que han analizado el comportamiento de Remus no creen que se esté explotando una vulnerabilidad de día cero en Gmail, como presumen sus autores. Según Hipertextual, la evidencia disponible no es lo bastante amplia ni detallada para sostener esa afirmación.
Su hipótesis más lógica es otra. Remus podría establecer una autorización reutilizable que sigue sirviendo mientras el atacante conserve acceso a un navegador con una sesión iniciada.
Además, advierten de que el nivel de persistencia sobre las cuentas infectadas podría estar exagerado. Es decir, existe un riesgo real, pero su alcance no está medido.
Mi lectura, como análisis y no como dato confirmado: si esa explicación es correcta, el punto débil no sería la contraseña sino el navegador y el equipo donde hay una sesión abierta. Por eso cambiar la clave podría ser necesario pero insuficiente.
Qué hacer esta semana con tu cuenta y las de tu equipo
Las recomendaciones que recoge Hipertextual son tres, y ninguna exige presupuesto:
- Cambiar las contraseñas si sospechas que tu cuenta de correo está en peligro.
- Activar la verificación en dos pasos en todas las cuentas que no la tengan.
- Usar llaves de acceso (passkeys) allí donde el servicio las ofrezca.
Para una pyme o un autónomo, la cuenta de Gmail suele ser el centro de la operación: facturas, proveedores y recuperación de otros servicios. Una revisión de quién tiene activada la verificación en dos pasos es cuestión de minutos y reduce una exposición que, si el ataque funciona como dicen, no se arregla solo con una clave nueva.
Si hay indicios de infección en un equipo concreto, tiene sentido tratarlo como el origen del problema y no solo la cuenta. Es una deducción mía a partir de la hipótesis de los analistas, no una indicación de Hudson Rock ni de Hipertextual.
Hipertextual enmarca el caso en una tendencia más amplia: la IA generativa está facilitando la creación y distribución de amenazas más complejas. Eso no prueba nada sobre Remus en particular, pero sí explica por qué conviene no esperar a tener confirmaciones para endurecer las cuentas.
Lo que hay que vigilar ahora son dos cosas. La primera es si Hudson Rock o Google publican datos técnicos que confirmen o desmientan la persistencia. La segunda es si se concreta el mecanismo que apuntan los analistas, una autorización reutilizable ligada a una sesión de navegador. Hasta entonces, la decisión práctica es activar la verificación en dos pasos y pasar a passkeys donde se pueda.
