黑客出租惡意程式 聲稱改密碼仍可讀 Gmail

賣家開價每月 US$1,000 讀取 Gmail

據網絡罪案情報公司 Hudson Rock 11 月 9 日發表的調查，偷密碼惡意程式 Remus Stealer 在 1.3.9 版公告及俄語黑客論壇 exploit.in 的銷售帖中，推出名為「Mail」的 Gmail 功能。這項功能只限最高級的 Enterprise 方案，月費 US$1,000。

Remus Stealer 屬 infostealer，即專門在中毒電腦上收集登入資料的惡意程式，銷售時主打加密貨幣服務及 YouTube 帳戶。賣家聲稱，客戶可在程式的控制台內，像用網頁郵箱一樣搜尋及閱讀受害者的收件箱，並截取電郵驗證碼，過程毋須偷取瀏覽器的 cookie 檔案。

銷售帖更聲稱，即使受害者其後更改密碼或登出所有裝置，客戶仍可繼續讀信。

調查公司：改密碼仍可讀信的說法未經證實

Hudson Rock 表示，曾向開發者提問，又與一名自稱客戶的人士對話。這名客戶稱，重設登入及關閉瀏覽器後仍可讀信，更改 Google 密碼後亦然。

惟 Hudson Rock 強調，這些都是未經核實的說法，客戶是否獨立人士無從確認，亦未做過受控測試。截圖只能顯示畫面上有甚麼，不能證明郵件在何時、以何種方法取得。該公司認為，現有證據不足以把這項功能定性為已證實的 Gmail「零日漏洞」，即廠商未知、仍未修補的保安缺陷。

被問及原理時，開發者只提到程式會與瀏覽器記憶體互動，執行後隨即退出，又稱可避過 Google 的防詐騙檢查，但沒有交代技術細節。Hudson Rock 推測，程式或趁瀏覽器仍在登入狀態時取得可重用的授權，再由遠端伺服器在本機程式退出後繼續讀取郵件，但強調這只是推論。

Google：事件不涉任何 Gmail 漏洞

Google 發言人回覆網絡安全媒體 Cybernews 查詢時表示，利用惡意程式偷取個人裝置上登入憑證的攻擊「並不新鮮」，又指「事件並不涉及任何 Gmail 或 Google 漏洞」。

發言人建議受影響用戶先清除電腦上的惡意程式，再在帳戶設定中登出所有登入中的裝置，令被偷的登入憑證失效。

改密碼本來會令授權失效

翻查 Google 的說明文件，用戶更改密碼後，帶有 Gmail 權限的 OAuth 授權（第三方程式讀取帳戶的許可）一般會被撤銷。例外包括 Apps Script 及 IMAP 連線，後者最長約一小時後才中斷。

Hudson Rock 指，這些例外並不代表 Remus Stealer 正是利用這些途徑。另外，網絡保安公司 SpyCloud 早前已就 Remus 發表技術分析，形容它是新出現的偷密碼程式。

來源

• Remus Stealer Markets Persistent Gmail Access: Hudson Rock Investigates（Hudson Rock）
• Google's "zero-day": Attackers say they have access to Gmail even after password change（Cybernews）
• Dangerous new Gmail exploit lets hackers read your emails for a monthly fee of $1,000（Tom's Guide）