Το Remus Stealer, ένα εμπορικό malware που κλέβει δεδομένα, διαφημίζεται σε φόρουμ του underground με ένα νέο εργαλείο: ανοίγει το Gmail ενός μολυσμένου υπολογιστή μέσα από πίνακα ελέγχου. Οι διαχειριστές του ισχυρίζονται ότι η πρόσβαση συνεχίζεται ακόμα και μετά από αλλαγή κωδικού. Την πρώτη περιγραφή έδωσε η Hudson Rock στις 9 Νοεμβρίου 2026.
Εδώ χρειάζεται προσοχή: πρόκειται για ισχυρισμό του πωλητή, όχι για αποδεδειγμένη ιδιότητα. Η Hudson Rock έχει δει στιγμιότυπα οθόνης και έχει μιλήσει με τον developer και με έναν πελάτη, αλλά δεν έχει κάνει ελεγχόμενη δοκιμή που να δείχνει νέο email να εμφανίζεται μετά από πλήρη ανάκτηση του λογαριασμού.
Το ερώτημα του αναγνώστη είναι πρακτικό: «Αρκεί να αλλάξω κωδικό στο Gmail;». Η σύντομη απάντηση είναι ότι ο κωδικός είναι αναγκαίος αλλά όχι αρκετός, όταν ο υπολογιστής σου είναι ήδη μολυσμένος. Παρακάτω βλέπεις τι είναι επιβεβαιωμένο, τι είναι φήμη και ποια σειρά βημάτων έχει νόημα.
Περιεχόμενα
- Τι ισχυρίζεται το Remus και τι έχει επιβεβαιωθεί
- Πώς θα μπορούσε να δουλεύει χωρίς κενό στο Gmail
- Από το Lumma στο Remus: το ιστορικό της οικογένειας
- Τι να κάνεις σήμερα με τη σωστή σειρά
- Τι καλύπτει κάθε ενέργεια και τι όχι
- Τι σημαίνει για Έλληνες χρήστες
- Συχνές Ερωτήσεις για το Remus Stealer και το Gmail
Τι ισχυρίζεται το Remus και τι έχει επιβεβαιωθεί
Σύμφωνα με την έρευνα της Hudson Rock, η έκδοση 1.3.9 του Remus προσθέτει κουμπί «Mail» δίπλα σε κάθε εγγραφή κλεμμένης συσκευής. Ο πίνακας δείχνει λίστα μηνυμάτων, αποστολείς, θέματα, ώρες και αναζήτηση. Το εργαλείο προβάλλει και διαμοιρασμό της πρόσβασης σε άλλους χειριστές.
Η λειτουργία είναι διαθέσιμη μόνο στο Enterprise πακέτο, που η Hudson Rock καταγράφει στα 1.000 δολάρια τον μήνα. Η τιμή είναι δήλωση του πωλητή και δεν έχει επαληθευτεί ανεξάρτητα. Οι όροι μιας παράνομης αγοράς αλλάζουν συνέχεια.
Ο developer είπε στην Hudson Rock ότι το πρόγραμμα αλληλεπιδρά με τη μνήμη του browser, εκτελείται και τερματίζεται. Ένας πελάτης που το υποστηρίζει δημόσια είπε ότι η πρόσβαση συνεχίστηκε μετά το κλείσιμο του browser και την αλλαγή κωδικού. Η Hudson Rock τονίζει ότι πρόκειται για λόγια ενδιαφερόμενου μέρους, χωρίς ημερομηνίες, ρυθμίσεις ή αρχείο ανάκλησης.
Η πιο χρήσιμη διάκριση στο ρεπορτάζ είναι αυτή ανάμεσα σε τρία επίπεδα βεβαιότητας:
- Ορατό: υπάρχει διεπαφή γραμματοκιβωτίου στα στιγμιότυπα.
- Αναφερόμενο από πηγές: η πρόσβαση συνεχίζεται μετά το κλείσιμο του browser και την αλλαγή κωδικού (πωλητής και πελάτης).
- Μη τεκμηριωμένο: φρέσκα μηνύματα μετά από πλήρη ανάκληση συνδέσεων, κωδικού και αδειών εφαρμογών.
TechNoid Take: Διαβάζουμε το τρίτο επίπεδο ως ανοιχτό ερώτημα και όχι ως γεγονός. Ο τίτλος «η αλλαγή κωδικού δεν αρκεί» ισχύει σε ένα στενό νόημα, όπως θα δεις παρακάτω. Δεν ισχύει όμως ως απόδειξη ότι το Gmail «σπάει» από μόνο του.
Πώς θα μπορούσε να δουλεύει χωρίς κενό στο Gmail
Η Hudson Rock δεν χαρακτηρίζει τη λειτουργία αποδεδειγμένο zero-day του Gmail. Η πιθανότερη εξήγηση, όπως την περιγράφει, είναι ότι το Remus αποκτά ή δημιουργεί επαναχρησιμοποιήσιμη εξουσιοδότηση ενώ ο browser είναι συνδεδεμένος. Ένα απομακρυσμένο τμήμα μπορεί μετά να ζητά αλληλογραφία, ακόμα κι αν το αρχικό εκτελέσιμο έχει κλείσει. Η ίδια η εταιρεία το χαρακτηρίζει συμπέρασμα από τα λόγια του developer και του πελάτη.
Τα δύο ζητήματα πρέπει να μένουν χωριστά. Αν η πρόσβαση ξεπερνά το κλείσιμο του προγράμματος, αυτό δεν αποδεικνύει ότι ξεπερνά και την ανάκληση. Η Hudson Rock σημειώνει ότι, σύμφωνα με την τεκμηρίωση της Google, η αλλαγή κωδικού κανονικά ακυρώνει τα access και refresh tokens με πεδίο Gmail. Υπάρχουν γνωστές εξαιρέσεις, όπως το Apps Script και οι ήδη ανοιχτές συνδέσεις IMAP με OAuth, που κρατούν περίπου μία ώρα.
Μένουν και άλλες εξηγήσεις: ένας επιπλέον μηχανισμός προώθησης αλληλογραφίας, ατελής ανάκληση, ένα δεύτερο συστατικό που τρέχει ακόμα στον υπολογιστή, ή ένας πίνακας που δείχνει μηνύματα που είχαν συλλεχθεί νωρίτερα. Καμία δεν έχει αποδειχθεί. Σε αυτό το σημείο η Hudson Rock κρατά ανοιχτές όλες τις εκδοχές.
Για να κλείσει το θέμα, χρειάζεται δοκιμή με γραμματοκιβώτιο-μάρτυρα. Ένα μήνυμα θα στέλνεται μετά την αλλαγή κωδικού και την ανάκληση, και θα φαίνεται αν εμφανίζεται στο Remus. Αυτή η δοκιμή δεν έχει δημοσιευτεί μέχρι σήμερα, 11 Νοεμβρίου 2026.
Από το Lumma στο Remus: το ιστορικό της οικογένειας
Το Remus δεν είναι ξαφνική εμφάνιση. Η κατάλογος infostealers της Hudson Rock το περιγράφει ως 64-bit stealer για Windows που η Gen Threat Labs αποδίδει στην οικογένεια του Lumma, ως διάδοχο και όχι ως απλό αντίγραφο. Μοιράζεται με το Lumma την απόκρυψη κώδικα, τους ελέγχους για εικονικές μηχανές και την παράκαμψη της κρυπτογράφησης του browser. Βρίσκει όμως τους διακομιστές ελέγχου μέσα από έξυπνα συμβόλαια του Ethereum.
Το Lumma ήταν από τα πιο διαδεδομένα malware-as-a-service, δηλαδή κακόβουλο λογισμικό που νοικιάζεται με συνδρομή, μέχρι τη συντονισμένη κατάργηση υποδομών τον Μάιο 2025, όπως γράφει ο ίδιος κατάλογος. Το Vidar 2.0 κέρδισε μέρος των πελατών του. Το Remus, κατά την ίδια πηγή, προωθείται με έμφαση στην κλοπή ενεργών συνεδριών (sessions).
Αυτό δίνει νόημα στη νέα λειτουργία. Όταν ένα προϊόν είναι χτισμένο γύρω από κλεμμένες συνεδρίες, το γραμματοκιβώτιο είναι η φυσική επόμενη δυνατότητα: εκεί φτάνουν οι κωδικοί επαλήθευσης και τα links επαναφοράς άλλων λογαριασμών. Η Hudson Rock το περιγράφει έτσι: ο κίνδυνος είναι η εύκολη πρόσβαση στους λογαριασμούς πίσω από ένα inbox.
Αυτό το ιστορικό είναι το κομμάτι που θα εξακολουθεί να ισχύει σε έξι μήνες, όποια κι αν είναι η εξέλιξη της ιστορίας του Gmail. Οι stealers μεταναστεύουν από οικογένεια σε οικογένεια μετά από κάθε κατάργηση.
Τι να κάνεις σήμερα με τη σωστή σειρά
Η σειρά των βημάτων έχει σημασία, και εδώ συμφωνούν η Hudson Rock και τα βήματα της Google. Αν υπάρχει malware στον υπολογιστή, ο καινούργιος κωδικός που πληκτρολογείς πάνω του μπορεί να κλαπεί ξανά. Οι ειδικοί προτείνουν να αλλάξεις τα στοιχεία από ξεχωριστή, καθαρή συσκευή.
Quick Start:
- Απομόνωσε τον ύποπτο υπολογιστή και μην τον χρησιμοποιείς για συνδέσεις σε σημαντικούς λογαριασμούς.
- Από άλλη, καθαρή συσκευή, άλλαξε τον κωδικό Google και κάθε κωδικό που είχες αποθηκεύσει ή χρησιμοποιήσει στον ύποπτο υπολογιστή.
- Στο Λογαριασμός Google → «Οι συσκευές σου», αποσύνδεσε όσες δεν αναγνωρίζεις.
- Στο Gmail έλεγξε προώθηση, φίλτρα, ετικέτες, πρόσβαση IMAP/POP και εκπροσώπηση (delegation).
- Αφαίρεσε εφαρμογές τρίτων με πρόσβαση στον λογαριασμό και έλεγξε τα στοιχεία ανάκτησης.
- Καθάρισε τον υπολογιστή με αξιόπιστο antivirus ή κάνε επανεγκατάσταση, αφού πάρεις αντίγραφο των αρχείων σου.
- Ενεργοποίησε επαλήθευση σε δύο βήματα, ιδανικά με passkey ή κλειδί ασφαλείας.
Σύμφωνα με τον οδηγό της Google για παραβιασμένους λογαριασμούς, μπορεί να χρειαστεί και επαναφορά του υπολογιστή στις εργοστασιακές ρυθμίσεις με νέα εγκατάσταση του λειτουργικού. Ο ίδιος οδηγός θεωρεί ύποπτη κάθε ρύθμιση που δεν έβαλες εσύ: προώθηση, αυτόματη απάντηση, φίλτρα ή πρόσβαση IMAP/POP.
Η Google, όπως μεταφέρει το Cybernews, λέει ότι οι χρήστες μπορούν να ακυρώσουν κλεμμένες συνεδρίες αφαιρώντας το malware και ανακαλώντας τις ενεργές συνδέσεις. Οι όροι και τα μενού αλλάζουν, γι’ αυτό επιβεβαίωσε τα βήματα στη σελίδα βοήθειας της Google πριν τα εφαρμόσεις.
Αν έχεις πρόσφατα βγάλει κωδικούς από ένα ύποπτο αρχείο CSV ή έχεις κατεβάσει «κρακαρισμένο» πρόγραμμα, δες και τον οδηγό μας για την ασφαλή μετάβαση από το επικίνδυνο αρχείο CSV σε Android.
Τι καλύπτει κάθε ενέργεια και τι όχι
Η παρακάτω σύγκριση είναι δική μας ανάγνωση, χτισμένη πάνω στις οδηγίες της Google και της Hudson Rock. Δεν προέρχεται από δοκιμή.
| Ενέργεια | Τι κλείνει | Τι αφήνει ανοιχτό |
|---|---|---|
| Αλλαγή κωδικού μόνο | Τον παλιό κωδικό και, κανονικά, τα tokens που εκδόθηκαν με τον παλιό | Ενεργό malware που ξανακλέβει τη νέα συνεδρία |
| Ανάκληση συσκευών | Γνωστές ενεργές συνδέσεις | Νέες συνδέσεις από μολυσμένη συσκευή |
| Έλεγχος φίλτρων και προώθησης | Μηχανισμούς διαρροής μέσα στον λογαριασμό | Τον υπολογιστή |
| Καθαρισμός ή επανεγκατάσταση | Την πηγή της μόλυνσης | Ό,τι έχει ήδη κλαπεί και δεν έχει αλλάξει |
| Passkey ή κλειδί ασφαλείας | Την κλοπή απλού κωδικού | Μόλυνση που υποκλέπτει ήδη συνδεδεμένη συνεδρία |
Για τον τελευταίο έλεγχο, η Hudson Rock σημειώνει ότι τα στιγμιότυπα δεν δείχνουν καθολική παράκαμψη του 2FA ούτε δυνατότητα αποστολής email. Η Google πάντως συνιστά passkeys και Enhanced Safe Browsing στο Chrome, ώστε να μην εγκατασταθεί ο stealer εξαρχής.
Η πιο συχνή αιτία μόλυνσης παραμένει η εγκατάσταση «δωρεάν» ή παραβιασμένου λογισμικού. Αν το ίδιο γίνεται και σε κινητό, διάβασε και το σχετικό μας για το νέο malware Android που υποκλέπτει e-banking και PIN μέσω AI.
Τι σημαίνει για Έλληνες χρήστες
Στην Ελλάδα το Gmail δεν είναι μόνο προσωπικό ταχυδρομείο. Συνήθως είναι η διεύθυνση ανάκτησης για e-banking, gov.gr, παρόχους και ηλεκτρονικά καταστήματα. Όποιος ελέγχει το inbox μπορεί να ζητήσει επαναφορά κωδικού και να διαβάσει τον σύνδεσμο που θα έρθει.
Το ελληνικό ρεπορτάζ γύρω από την υπόθεση έχει ήδη κυκλοφορήσει, με εκδοχές όπως του Pronews. Παρατηρούμε ότι αρκετοί τίτλοι παρουσιάζουν την επιμονή της πρόσβασης ως δεδομένη, ενώ η πρωτογενής αναφορά της Hudson Rock τη χαρακτηρίζει ανεπιβεβαίωτη. Αυτή η διαφορά ανάμεσα στον τίτλο και στο περιεχόμενο είναι το κύριο σημείο που διορθώνουμε εδώ.
Δεν βρήκαμε ελληνική ρυθμιστική ανακοίνωση (π.χ. από την ΕΕΤΤ) ή στοιχεία για μολύνσεις στην Ελλάδα. Γι’ αυτό δεν γράφουμε νούμερα για την ελληνική αγορά. Αν και όταν εμφανιστούν, θα τα προσθέσουμε με πηγή.
Στο ίδιο πλαίσιο, ο κίνδυνος δεν σταματά στα προσωπικά email. Οι επιθέσεις σε κρατικά ή εταιρικά webmail δείχνουν πόσο συχνά το γραμματοκιβώτιο είναι ο πρώτος στόχος, όπως στην περίπτωση κρατικού webmail και απάτης κρυπτονομισμάτων που καλύψαμε.
TechNoid Insight: Εκτιμούμε, χωρίς να το έχουμε επαληθεύσει, ότι η πραγματική αλλαγή εδώ είναι εμπορική και όχι τεχνική. Οι stealers πουλούν πλέον υπηρεσίες «πρόσβασης σε email» με περιβάλλον webmail, όχι απλά αρχεία κωδικών.
Διάβασε επίσης:
Τι να παρακολουθήσεις από εδώ και πέρα
Υπάρχουν τρία σημεία που θα αλλάξουν την εικόνα: μια ελεγχόμενη δοκιμή από ερευνητές, μια επίσημη τοποθέτηση της Google για τη συγκεκριμένη λειτουργία και ανάλυση του κώδικα του Remus. Μέχρι τότε, η σωστή στάση είναι να θεωρείς ότι η μόλυνση του υπολογιστή είναι το πραγματικό πρόβλημα και το Gmail το σύμπτωμα.
Συχνές Ερωτήσεις για το Remus Stealer και το Gmail
Είναι το Remus ένα κενό ασφαλείας (zero-day) του Gmail;
Όχι με βάση τα σημερινά στοιχεία. Η Hudson Rock δεν το κατατάσσει ως αποδεδειγμένο zero-day, και ο ίδιος ο developer απέφυγε να δώσει τεχνικές λεπτομέρειες. Η περιγραφή «zero-day» προέρχεται από τη διαφήμιση του πωλητή.
Ποιους στοχεύει κυρίως το Remus;
Η Hudson Rock σημειώνει ότι το marketing του Remus δίνει έμφαση σε υπηρεσίες κρυπτονομισμάτων και λογαριασμούς YouTube. Ένα γραμματοκιβώτιο όμως περιέχει και συνδέσμους επαναφοράς για εργασιακούς και άλλους ευαίσθητους λογαριασμούς. Αυτό διευρύνει την επίπτωση πέρα από τους στόχους της διαφήμισης.
Αρκεί η επαναφορά του υπολογιστή στις εργοστασιακές ρυθμίσεις;
Η Google την αναφέρει ως επιλογή όταν υπάρχει ύποπτη δραστηριότητα, μαζί με επανεγκατάσταση του λειτουργικού. Προηγείται αντίγραφο των αρχείων που χρειάζεσαι. Μετά την επανεγκατάσταση αλλάζουν και οι κωδικοί που είχες αποθηκεύσει στον browser.
Με προστατεύει η επαλήθευση σε δύο βήματα;
Προστατεύει όταν κλαπεί μόνο ο κωδικός, γιατί ο επιτιθέμενος χρειάζεται και δεύτερο στοιχείο. Η Hudson Rock προειδοποιεί ότι ισχυρότερη σύνδεση δεν καταργεί την ανάγκη να καθαριστεί ο μολυσμένος υπολογιστής. Τα στιγμιότυπα πάντως δεν δείχνουν καθολική παράκαμψη του MFA.
Πώς καταλαβαίνω ότι κάποιος διαβάζει το Gmail μου;
Η Google δίνει λίστα ενδείξεων: εξαφανισμένα email που δεν υπάρχουν ούτε στα Απορριμμένα, «Απεσταλμένα» που δεν έγραψες, φίλοι που λαμβάνουν περίεργα μηνύματα από σένα και αλλαγές σε προώθηση ή φίλτρα. Μπορεί να δεις και κόκκινη μπάρα με την ένδειξη ύποπτης δραστηριότητας.
Μπορεί το Remus να στείλει email εκ μέρους μου;
Τα διαθέσιμα στιγμιότυπα δείχνουν ανάγνωση και αναζήτηση μηνυμάτων, όχι αποστολή. Η Hudson Rock το αναφέρει ρητά ως κάτι που το υλικό δεν αποδεικνύει. Δεν σημαίνει ότι δεν είναι εφικτό, μόνο ότι δεν έχει τεκμηριωθεί.
Το Remus δείχνει πού πάει η αγορά των stealers: από την πώληση κωδικών προς την πώληση πρόσβασης σε ολόκληρα γραμματοκιβώτια, με την ευκολία ενός webmail. Αν ο ισχυρισμός περί πρόσβασης μετά την ανάκτηση αποδειχθεί, η συζήτηση θα μετακινηθεί από τον κωδικό στον τρόπο που κρατά ο browser τις συνεδρίες μας.
Τελευταία επαλήθευση στοιχείων: Νοέμβριος 2026.
