Cyberkriminelle bewerben derzeit neue Methoden, um den Zugriff auf fremde Google-Konten auch nach Schutzmaßnahmen aufrechtzuerhalten. Eine Untersuchung des Sicherheitsunternehmens Hudson Rock vom 9. November 2026 beleuchtet die Version 1.3.9 der Schadsoftware Remus Stealer.
Die Hintermänner versprechen zahlenden Kunden einen dauerhaften Zugriff auf kompromittierte Gmail-Postfächer, der selbst nach einer Änderung des Passworts oder dem Widerruf aktiver Sitzungen bestehen bleiben soll.
Zweifel an angeblichem Zero-Day-Exploit
Für das Werkzeug verlangen die Entwickler im Rahmen eines Enterprise-Abonnements 1.000 US-Dollar monatlich. Günstigere Varianten werden als Basic-Tarif für 250 US-Dollar sowie als Pro-Option für 500 US-Dollar angeboten. Screenshots eines mutmaßlichen Nutzers zeigen eine durchsuchbare Webmail-Oberfläche mit Nachrichtenlisten, Absenderangaben, Betreffzeilen, Textvorschauen und einer integrierten Mail-Funktion in der Geräteübersicht.
Wer sich vor komplexen Hacker-Angriffen schützen möchte, findet in diesem kostenlosen Ratgeber die wichtigsten Grundlagen für ein sicheres Google-Konto. Schritt für Schritt wird erklärt, wie Sie Dienste wie Gmail und Drive optimal absichern und die Kontrolle behalten. Kostenloses Google-Starterpaket jetzt sichern
Trotz dieser Darstellungen betont Hudson Rock, dass es bislang an unabhängigen Bestätigungen für die Behauptungen der Kriminellen fehlt. Weder liegt eine detaillierte Reverse-Engineering-Analyse vor, noch konnte das Verhalten nach einer umfassenden Kontowiederherstellung in reproduzierbaren Tests bestätigt werden. Ein echter Zero-Day-Angriff auf Gmail sei daher nicht belegt.
Die Entwickler von Remus Stealer behaupten, dass eine kurze Interaktion mit dem Browser-Speicher während der Ausführung auf einem infizierten Gerät ausreiche, um Schutzsysteme von Google zu umgehen. Dies solle einen wiederholten Zugriff ermöglichen, ohne Browser-Cookies kopieren oder Bestätigungscodes abfangen zu müssen.
Technische Details nannten sie jedoch nicht. Sicherheitsforscher halten es für deutlich plausibler, dass die Angreifer wiederverwendbare Autorisierungen ausnutzen, die an einen angemeldeten Browser gekoppelt sind.
Googles Einordnung und Schutzmaßnahmen
Google wies die Darstellung zurück und erklärte, dass keine Sicherheitslücke in Gmail oder der eigenen Infrastruktur vorliege. Das eigentliche Risiko bestehe vielmehr in gestohlenen Sitzungs-Tokens auf privaten Endgeräten. Wenn Nutzer ihr Passwort direkt auf einem bereits infizierten Computer ändern, könne die dort aktive Schadsoftware die neuen Tokens unmittelbar erneut abgreifen.
Da herkömmliche Passwörter oft die größte Schwachstelle für Datendiebstahl darstellen, rücken neue Sicherheits-Technologien immer mehr in den Fokus. Dieser kostenlose Report zeigt Ihnen, wie Sie mit Passkeys eine moderne Alternative einrichten, die Hackern bei Diensten wie Amazon oder WhatsApp keine Chance mehr lässt. Gratis-Report zur passwortlosen Anmeldung herunterladen
Im Regelfall führt eine Passwortänderung bei Google dazu, dass Zugriffs- und Aktualisierungs-Tokens ihre Gültigkeit verlieren. Ausnahmen bestehen jedoch bei bestimmten Integrationen wie Apps Script oder dem IMAP-Abruf mit separaten Zugangsdaten.
Für den Fall eines Schädlingsbefalls empfiehlt der Konzern eine strikte Reihenfolge: Zunächst muss die Schadsoftware vollständig vom betroffenen System entfernt werden. Erst danach sollte die Änderung des Passworts von einem nachweislich sauberen Gerät aus erfolgen, gefolgt von einer Beendigung aller unbekannten Sitzungen.
Zudem rät das Unternehmen zur regelmäßigen Überprüfung verknüpfter Geräte, eingerichteter Filter, automatischer Weiterleitungen und erteilter Drittanbieter-Berechtigungen sowie zur Aktivierung moderner Schutzfunktionen wie Passkeys.