Un voleur d’informations vend un accès à Gmail qui, dit-il, survit à un changement de mot de passe

Les créateurs de Remus Stealer, un maliciel vendu à des criminels pour voler des données sur des ordinateurs infectés, annoncent une nouvelle fonction : une visionneuse intégrée pour lire la boîte Gmail d’une victime directement à partir des données volées. Leur argumentaire va plus loin et affirme que l’accès continue de fonctionner même après que la victime a changé son mot de passe ou fermé ses autres sessions.

La firme de renseignement sur les menaces Hudson Rock a examiné ces affirmations (en anglais) en parlant au développeur et à un client qui vantait la fonction. Sa conclusion est mesurée : la fonction de boîte courriel semble réelle, mais l’affirmation qu’elle survit à une récupération complète du compte n’est pas vérifiée, et Hudson Rock ne la classe pas comme une faille de sécurité de Gmail.

Ce qui est annoncé

Selon Hudson Rock, l’annonce de la version 1.3.9 promet la lecture des codes reçus par courriel sans recueillir les fichiers de témoins du navigateur, affirme que les changements de mot de passe et les fermetures de session ne l’arrêtent pas, et offre des liens partageables pour qu’un criminel puisse passer une boîte à d’autres. Elle n’est vendue que dans l’offre « Enterprise » de Remus, affichée à 1 000 $ par mois dans le fil de vente principal.

Des captures d’écran fournies à Hudson Rock montrent une visionneuse de style webmail avec expéditeurs, objets, horodatages et recherche, rattachée à chaque appareil volé. L’une montre un courriel de code de vérification de Pinterest. Le marketing de Remus met l’accent sur les services de cryptomonnaie et les comptes YouTube, mais une boîte courriel reçoit aussi les liens de réinitialisation de presque tout le reste.

Ce qui est prouvé, et ce qui ne l’est pas

• Plausible : le développeur a dit à Hudson Rock que le maliciel « interagit avec la mémoire du navigateur », puis se ferme. L’explication privilégiée par Hudson Rock est que Remus récupère ou crée une autorisation de connexion réutilisable pendant qu’il est sur un ordinateur infecté où Gmail est ouvert, et qu’un service distant continue ensuite de récupérer le courrier.
• Affirmé, mais pas démontré : un client a dit à Hudson Rock que le courrier restait lisible après une réinitialisation de session, la fermeture du navigateur et un changement de mot de passe Google. Hudson Rock note qu’il a un intérêt dans l’affaire et qu’il n’a donné aucun détail sur ce qui a été réinitialisé ni quand.
• Non établi : Hudson Rock dit que le matériel ne contient aucun test contrôlé montrant un nouveau courriel arrivé dans Remus après une récupération complète, ni aucune analyse du maliciel montrant comment il fonctionne. Google indique qu’un changement de mot de passe révoque normalement les jetons qui permettent de lire Gmail, avec quelques exceptions documentées.

Le développeur parle d’une faille « zero-day » de Gmail. Hudson Rock dit que les preuves ne le soutiennent pas. Le point clé pour vous : l’ordinateur de la victime doit d’abord être infecté.

Ce que vous pouvez faire

1. Évitez l’infection en premier lieu. Les voleurs d’informations arrivent souvent par des logiciels piratés, de fausses triches de jeux, de fausses mises à jour et des publicités malveillantes. N’installez des logiciels que depuis l’éditeur ou une boutique officielle.
2. Si vous pensez qu’un ordinateur est infecté, nettoyez-le ou réinitialisez-le avant de vous y reconnecter à quoi que ce soit. Changez vos mots de passe depuis un autre appareil, sain. Changer un mot de passe sur un ordinateur infecté peut le remettre directement au maliciel.
3. Après avoir changé votre mot de passe Google, vérifiez tout le reste, comme le conseille Hudson Rock : déconnectez les appareils inconnus dans la page de sécurité de votre compte Google, retirez les applications tierces que vous ne reconnaissez pas et vérifiez dans Gmail les règles de transfert, filtres ou délégations que vous n’avez pas créés.
4. Protégez les comptes qui utilisent cette boîte pour leurs réinitialisations. Activez les clés d’accès ou une application d’authentification quand c’est possible, pour qu’un code reçu par courriel ne suffise pas à prendre un compte.

Comment Frame peut aider

Ce maliciel vole des données sur des ordinateurs infectés plutôt que dans la base de données d’une entreprise, donc il n’y a pas de fuite à ajouter. Frame peut chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame n’analyse pas les appareils à la recherche de maliciels.

À lire aussi

• Comment les voleurs d’informations dérobent vos sessions, et pourquoi un nouveau mot de passe ne suffit pas : le fonctionnement des sessions volées et les étapes de nettoyage qui comptent.
• Un nouveau voleur d’informations s’attaque aux connexions des outils d’IA : un autre voleur d’informations qui ajoute de nouvelles cibles cet automne.

Sources

• Hudson Rock (InfoStealers), Remus Stealer Markets Persistent Gmail Access: Hudson Rock Investigates (en anglais), novembre 2026
• Security Affairs, Hackers Advertise a $1,000 Gmail Tool That Allegedly Survives Password Resets (en anglais), 11 novembre 2026