El malware Remus sigue dentro de tu Gmail aunque cambies la contraseña: roba tu sesión

El malware Remus no necesita tu contraseña para entrar en Gmail. Por eso cambiarla no sirve absolutamente de nada.

La versión más reciente de este infostealer —ladrón de información, en la jerga— se promociona en foros criminales con una promesa incómoda: mantiene el acceso a una cuenta de Gmail comprometida incluso después de que la víctima actualice su contraseña y cierre todas las sesiones activas. Lo recoge Hipertextual a partir del trabajo de los investigadores de Hudson Rock, que se pusieron en contacto directo con los desarrolladores del bicho para preguntarles cómo demonios lo hacen.

La respuesta fue un ‘no te lo voy a contar’. Los creadores de Remus se negaron a dar detalles técnicos concretos que permitieran tapar el agujero. Eso sí, dejaron caer que su criatura interactúa brevemente con la memoria del navegador para leer lo que hay almacenado ahí y que evade sin problemas las tecnologías antifraude de Google.

Qué hace exactamente Remus (y qué no)

La clave está en qué roba. Un infostealer clásico se lleva contraseñas y se va. Remus, según su propia propaganda, se lleva tokens de sesión: la llave que tu navegador ya usó para entrar. Es la diferencia entre copiar la llave de tu casa y quedarte dentro con la puerta cerrada por fuera.

Los creadores aseguran que su herramienta permite abrir un Gmail comprometido desde una aplicación de escritorio con una interfaz de cliente de correo normal. Y que no clonan cookies ni interceptan códigos de verificación en dos pasos. Todo muy limpio, según ellos.

Aquí toca frenar. Los expertos que han analizado el comportamiento del malware no creen que haya una vulnerabilidad de día cero en Gmail. La evidencia disponible es demasiado fina como para validar esa afirmación. Y la explicación más plausible es bastante menos cinematográfica que el marketing del grupo: Remus establece una autorización reutilizable que funciona mientras siga habiendo un navegador con la sesión abierta.

Robar una sesión es más rentable que robar una contraseña: la víctima cambia la clave, cierra todo y el intruso sigue dentro sin hacer ruido.

Por qué esto importa más de lo que parece

Los infostealers llevan años vendiéndose como suscripción en foros y mercados clandestinos, y su modelo de negocio ya no es el drama: es el volumen. Cientos de miles de credenciales se mueven cada mes en esos circuitos, y los compradores buscan acceso rápido a cuentas con valor: correo, banca redes sociales.

Gmail es la joya de la corona por una razón sencilla. Tu correo es la llave maestra de todo lo demás. Recuperación de contraseñas, notificaciones bancarias, la cuenta de Steam, el dichoso login de la administración. Quien controla tu bandeja de entrada controla el resto de tu vida digital sin necesidad de hackear nada más.

Eso sí, conviene leer las promesas del malware con la misma cara de sospecha con la que lees el marketing de una startup. Los propios investigadores de Hudson Rock avisan de que parte del nivel de persistencia que Remus anuncia podría estar inflado para vender mejor el producto. Los ciberdelincuentes también hacen branding. Y mienten.

Se veía venir: el robo de sesiones ya es el estándar

Esto no es una anomalía de laboratorio. Llevamos años viendo cómo el robo de cookies de sesión se convierte en la vía preferida de los atacantes, sobre todo desde que la verificación en dos pasos se popularizó y dejó de ser el muro infranqueable que prometía. Los anuncios de malware en Telegram hace tiempo que van con plantillas de phishing incluidas y soporte posventa.

Mi lectura: el titular de Remus es más agresivo que el malware en sí, pero el fondo del aviso es correcto y urgente. Da igual que la persistencia sea total o a medias. Si tus tokens están en la memoria de un navegador infectado, tu contraseña es decorativa.

Qué se puede hacer. Cambiar la contraseña sigue siendo necesario aunque no suficiente; activar la verificación en dos pasos con app o llave física ayuda; cerrar sesiones de forma remota en todos los dispositivos es el botón que casi nadie pulsa; y adoptar passkeys, las llaves de acceso que sustituyen a la contraseña, es la única mitigación estructural de verdad. Si hay sospecha real, revisar los dispositivos conectados desde el panel de seguridad de la cuenta de Google es el primer paso, y formatear el equipo, el segundo.

Lo peor del asunto no es Remus. Es la confirmación de algo que la industria lleva advirtiendo sin que se le haga mucho caso: el perímetro ya no está en tu contraseña, está en tu sesión abierta. Cierra lo que no uses.

Hype-O-Meter

Nivel de hype: 6/10. El malware y su persistencia son reales, pero el relato de ‘desafía toda la seguridad de Google‘ es marketing criminal sin datos técnicos que lo sostengan. Los propios analistas piden pinzas — y aun así, aquí la precaución barata no sobra.

El resumen para vagos (TL;DR)

• 🎯 ¿Qué ha pasado? Un infostealer llamado Remus roba tokens de sesión de Gmail en vez de contraseñas y mantiene el acceso.
• 🔥 ¿Por qué importa? Cambiar la clave ya no expulsa al intruso si la sesión sigue viva en algún navegador.
• 🤔 ¿Nos afecta o es solo un meme? Afecta, aunque parte del relato está inflado: cierra sesiones y activa passkeys.