Remus, un malware ladrón de datos que se vende como una promesa seria y luego lee las informaciones tan pronto el cliente abre Gmail
Santo Domingo.- Remus, un malware ladrón de datos, se vende con una promesa seria: abrir el Gmail de la víctima dentro del panel del atacante y seguir leyendo su correo aunque cambie la contraseña y cierre las sesiones.
La firma Hudson Rock examinó el anuncio, habló con el desarrollador y con un supuesto cliente.
Su conclusión corta el entusiasmo: esa capacidad estrella sigue sin una prueba controlada que la respalde.
El programa pertenece a la familia de los ladrones de información: entra en computadoras con Windows, copia las contraseñas guardadas, los inicios de sesión y los datos del navegador, y manda todo a quien lo opera.
Se alquila por suscripción en foros clandestinos desde febrero de 2026, con planes de US$250, US$500 y US$1,000 al mes.
Investigadores de Flare lo conectan con la familia Lumma.
La novedad está en la versión 1.3.9 y vive en el plan más caro.
Cada registro de equipo robado muestra un botón de correo que abre la bandeja de la víctima con un visor parecido al del propio Gmail: remitentes, asuntos, horas y un buscador. El anuncio presume interceptar los códigos de verificación por correo sin recoger los archivos de cookies del navegador, y ofrece enlaces para compartir ese buzón.
La promesa grande y la prueba que falta
El vendedor sostiene que el acceso sobrevive a todo: al cierre del navegador, al cambio de contraseña y a la revocación de las sesiones.
Preguntado por el mecanismo, el desarrollador respondió que su programa interactúa con la memoria del navegador, se ejecuta y sale del equipo. También afirmó que la herramienta esquiva los controles antifraude de Google. Los detalles técnicos que permitirían comprobar esas dos afirmaciones quedaron sin entregar.
Hudson Rock buscó la otra punta del negocio y conversó con una persona que se presentaba como cliente y defendía el servicio. Esa fuente aseguró que el correo seguía visible con las sesiones reiniciadas y el navegador cerrado, y respondió que sí al preguntarle si el acceso continuaba después de cambiar la contraseña de Google. El intercambio no documenta qué sesiones se revocaron ni en qué momento ocurrió cada paso.
Para Hudson Rock, la explicación más plausible no necesita ningún fallo nuevo de Gmail: una autorización reutilizable, obtenida o creada mientras el navegador tenía la sesión abierta, que un componente remoto sigue usando cuando el programa local ya salió. La documentación de Google marca el límite: cambiar la contraseña suele revocar los tokens de las aplicaciones con permiso sobre Gmail, y las conexiones ya autenticadas duran cerca de una hora.
Google niega el marco completo de la historia. Un portavoz de la compañía respondió a Cybernews que no hay ninguna vulnerabilidad de Gmail ni de Google en juego, y que el robo de sesiones con ladrones de información en dispositivos personales no es un fenómeno nuevo. La salida que marca la empresa es directa: las sesiones robadas se invalidan quitando el malware del equipo afectado y revocando las sesiones activas.
La limpieza empieza en un equipo sano
Todo el esquema depende de un paso previo y mundano: la computadora tiene que infectarse primero, casi siempre con la descarga de un programa falso o pirateado, o con un enlace engañoso. Sin esa infección no hay panel ni buzón abierto. Ese orden define la defensa, porque cambiar la contraseña desde la misma máquina comprometida le regala al ladrón la sesión nueva: el malware sigue mirando.
El recorrido de defensa que dibujan Hudson Rock y la guía de cuentas comprometidas de Google empieza fuera del equipo dañado: aislar la computadora infectada y limpiarla antes de volver a usarla para cuentas importantes.
Desde otro dispositivo sano toca cambiar la contraseña, revisar la lista de dispositivos con sesión iniciada y revocar las sesiones y los accesos de aplicaciones que no se reconozcan. La recuperación de la cuenta de Google se hace con la máquina comprometida ya fuera de la ecuación.
La revisión sigue dentro del propio Gmail: reglas de reenvío que manden copias a otra dirección, filtros que archiven o borren mensajes, cuentas con delegación para leer y enviar en nombre del dueño y accesos remotos al correo que nadie recuerda haber activado. Y se extiende al resto de la vida digital de la víctima, porque ese buzón recibe los enlaces para restablecer las claves de bancos, redes y tiendas.
Google suma dos hábitos a esa lista: activar la Navegación segura mejorada en Chrome, que ayuda a bloquear descargas con malware, y usar llaves de acceso (passkeys) para entrar con una protección más fuerte que la contraseña. Ninguna de las dos medidas devuelve una cuenta ya abierta por un ladrón, pero cierran las dos puertas que este negocio usa a diario: la descarga trampa y la clave reutilizada.
La valoración final de Hudson Rock deja el hueco claro: Remus vende una lectura de buzón integrada en su panel y un cliente respalda la persistencia anunciada, pero la evidencia no identifica el mecanismo ni muestra correo nuevo tras una recuperación de la cuenta. La prueba que lo cambiaría todo es concreta y nadie la ha publicado: un buzón de prueba, una recuperación y un mensaje abierto desde el panel.
Por Henry Ramírez