Gmail'i Hedefleyen Remus Zararlısı: Şifre Değişse Bile Posta Kutusuna Erişim Vaat Ediyor
Siber suç forumlarında dolaşan yeni bir reklam, Gmail kullanıcılarını tedirgin etti. Remus adlı veri hırsızı yazılımın geliştiricileri, bulaştıkları bilgisayarlardaki Gmail kutularını aylık 1.000 dolara okutabildiklerini, üstelik bunun şifre değişse bile sürdüğünü öne sürüyor. Google ise Gmail'de ya da sistemlerinde bir güvenlik açığı bulunduğuna dair kanıt olmadığını söylüyor.
Kaynak: CyberInsider, The 420
Remus'un Enterprise paketi, çalınan cihaz kaydının yanına bir "Mail" butonu ekliyor.
Hudson Rock'ın incelediği Remus 1.3.9 sürümünde, ele geçirilen her cihazın kaydının yanında bir 'Mail' seçeneği yer alıyor. Tıklayınca web posta istemcisine benzeyen bir görüntüleyici açılıyor. Mesajlar, gönderen bilgileri, zaman damgaları ve arama kutusu bu ekranda duruyor. Geliştirici ayrıca posta kutusuna paylaşılabilir bağlantılar üretilebildiğini, yani erişimin başka operatörlere de açılabildiğini duyuruyor.
Özellik yalnızca aylık 1.000 dolarlık Enterprise paketinde. Reklamda yer alan ekran görüntülerinden birinde Pinterest'ten gelen bir doğrulama e-postası görünüyor. Kutuya giren biri doğrulama kodlarını ve hesap kurtarma bağlantılarını görebiliyorsa, başka hizmetlerin hesaplarına uzanması da mümkün hale geliyor.
Geliştirici, erişimin şifre değişikliğinden ve oturum iptallerinden sonra da sürdüğünü söylüyor.
Geliştirici yöntemi bir 'Gmail zero-day açığı' olarak tanımlıyor. Anlattığına göre zararlı tarayıcı belleğiyle etkileşime giriyor, iş bitince de çalışmayı bırakıyor. Hizmeti açıkça öven bir müşteri ise Hudson Rock'a tarayıcıyı kapattıktan, oturumları sıfırladıktan ve Google şifresini değiştirdikten sonra bile posta kutusunun açık kaldığını anlattı.
Hudson Rock'ın kurucu ortağı Alon Gal, araştırmacıların hem geliştiriciyle hem de hizmeti destekleyen bir kişiyle yazıştığını açıkladı. Şirket, şifre değişimi sonrası erişimi kontrollü bir ortamda denemedi ve yöntemin nasıl çalıştığını da çözmüş değil. Öne çıkan ihtimal, zararlının kullanıcı enfekte tarayıcıdan oturum açmışken yeniden kullanılabilir bir yetkilendirme elde etmesi.
Google'a göre ortada Gmail'e ait bir açık yok, sorun kullanıcının cihazındaki zararlı yazılım.
Google'ın sözcüsü, Gmail'de ya da şirketin sistemlerinde bir güvenlik açığına dair kanıt bulunmadığını belirtti. Şirkete göre kişisel cihazlarda tarayıcı oturumlarını hedef alan veri hırsızları zaten bilinen bir tehdit. Zararlı temizlenip etkin oturumlar iptal edilirse çalınan oturumlar da geçersiz kalıyor.
Google'ın vurguladığı nokta sıralama. Cihazda zararlı açık hâlâ duruyorsa şifreyi değiştirmek, yeni açılan oturumların saldırganın eline geçmesine yol açabiliyor. Yani önce enfeksiyonu temizlemek, şifreyi ondan sonra değiştirmek gerekiyor.
Remus, Lumma Stealer'ın 64 bitlik varyantı olarak biliniyor.
Gen Threat Labs'in 7 Nisan 2026'da yayımladığı analize göre Remus, 32 bitlik Lumma Stealer'ın 64 bitlik varyantı. Lumma'nın geliştiricilerinin kimlikleri 2025'in ağustos ve ekim ayları arasında ifşa edilmişti. Remus'un ilk örnekleri 2026'nın ocak ve şubat aylarında ortaya çıktı. Analizde yaklaşık 100 şifreli metnin iki yazılımda birebir aynı olduğu kaydedildi.
Remus, Chrome'un 2024'te 127. sürümle getirdiği Uygulamaya Bağlı Şifreleme korumasını da aşıyor. Tarayıcının kendi sürecine 51 baytlık bir kod parçası yerleştirip şifre ve çerez anahtarını bellekte çözdürüyor. Komuta sunucusunun adresini ise bir Ethereum akıllı sözleşmesi üzerinden alıyor. Tarayıcı şifreleri, çerezler ve kripto cüzdanları bu yazılımın ana hedefleri arasında.
Bulaşma şüphesi varsa sıra önemli: Önce cihaz temizleniyor, şifre sonra başka bir cihazdan değiştiriliyor.
Uzmanların önerdiği ilk adım, bulaşma şüphesi olan bilgisayarı ağdan ayırıp zararlıyı temizlemek. Şifreler ise temiz ve ayrı bir cihazdan değiştirilmeli. Ardından Google hesabındaki oturum açılmış cihazlar listesine bakıp tanımadığınız oturumları kapatmak, şüpheli bağlı uygulamaları kaldırmak gerekiyor.
Gmail ayarlarında yönlendirme kuralları, filtreler, yetki devri ve kurtarma bilgileri de sizin yapmadığınız bir değişiklik için kontrol edilmeli. Google'ın Güvenlik Kontrolü'nü çalıştırmak, Chrome'da Gelişmiş Güvenli Tarama'yı açmak ve parola anahtarlarına (passkey) geçmek de listedeki öneriler arasında.
Keşfet ile ziyaret ettiğin tüm kategorileri tek akışta gör!
Test
Gündem
Magazin
Video
Yorum Yazın