Les vendeurs de l'infostealer Remus Stealer promettent à leurs clients de lire votre boîte Gmail, même après un changement de votre mot de passe. Hudson Rock, une entreprise israélienne spécialisée dans les logiciels voleurs de données, a enquêté sur cette offre à 1 000 dollars par mois sans parvenir à confirmer cette promesse.
Pendant que la planète a le regard tourné sur la panne géante qui touche Microsoft et notamment son client de messagerie Outlook, Remus sévit sur Gmail. Remus, c'est un infostealer, un logiciel conçu pour copier en quelques secondes les mots de passe et les cookies de connexion enregistrés dans votre navigateur. Avec un cookie volé, un pirate ouvre votre compte sans mot de passe ni code de vérification. Mais lorsque vous changez votre mot de passe Google, l’entreprise invalide en général les jetons de connexion encore actifs, et le pirate perd l’accès à votre compte. Dans l’annonce de la version 1.3.9 de Remus, ses développeurs affirment intercepter vos codes de vérification par e-mail sans voler le moindre cookie, et garder l’accès à vos messages après un changement de mot de passe et la révocation de vos sessions.
Les clients de Remus lisent votre boîte Gmail depuis leur tableau de bord
D’après l’enquête de Hudson Rock, les clients de Remus trouvent une option « Mail » à côté de chaque ordinateur infecté dans leur tableau de bord. Un clic, et ils parcourent la liste de vos messages, lisent vos e-mails et récupèrent les codes et les liens de réinitialisation que vous envoient vos autres services. Ils peuvent même partager l’accès à votre boîte avec d’autres pirates grâce à un simple lien. Les développeurs réservent cette fonction à leur offre Enterprise, facturée 1 000 dollars par mois, et parlent d’une faille « zero-day » de Gmail, c’est-à-dire inconnue de Google.
Interrogé par Hudson Rock sur le fonctionnement de cette option, le développeur a seulement évoqué une interaction avec la mémoire du navigateur, avant la fermeture du programme. Il affirme aussi contourner les contrôles antifraude de Google, sans fournir le moindre détail technique.
On vous racontait comment en 2024, des voleurs de données régénéraient des cookies Google pour revenir dans un compte après un changement de mot de passe. Microsoft et Europol ont saisi une grande partie des serveurs de Lumma, l’un des plus répandus, en mai 2025. Dès février 2026, les chercheurs de Gen Threat Labs, la division de recherche de l’éditeur de Norton et d’Avast, ont repéré les premières campagnes de Remus, et retrouvé dans son code de nombreux éléments de Lumma.
Hudson Rock n’a pas confirmé l’accès après un changement de mot de passe
Pour tester l’argument de vente, Hudson Rock a interrogé une cliente de Remus, du moins selon ses dires. D’après elle, la boîte mail restait accessible après la fermeture du navigateur, la réinitialisation des sessions et le changement du mot de passe Google. Mais elle n’a précisé ni quelles sessions avaient été coupées, ni à quel moment, et son indépendance vis-à-vis des vendeurs n’a pas été établie. « Il s’agit de déclarations marketing du vendeur d’un service criminel », souligne Pieter Arntz, chercheur chez Malwarebytes.
Selon Hudson Rock, les pirates obtiendraient plutôt grâce à Remus une autorisation réutilisable pendant que votre navigateur est connecté à Gmail, avant de l’utiliser pour relever votre courrier à distance. Mais Google invalide ces autorisations quand vous changez votre mot de passe, et il leur faudrait donc autre chose qu’un jeton volé pour garder l’accès. Si Remus se passe vraiment des cookies, ses développeurs n’ont en revanche rien à craindre de la protection ajoutée par Google dans Chrome 146 pour Windows. Depuis cette version, Google lie vos cookies de connexion à votre ordinateur pour empêcher un pirate de les réutiliser sur sa machine.
Si vous soupçonnez une infection, sécurisez votre compte Google depuis un autre appareil, sain, et déconnectez le PC suspect d’Internet avant de le nettoyer. Changez ensuite votre mot de passe, passez en revue les appareils connectés et les applications autorisées à lire votre compte, puis vérifiez dans Gmail qu’aucun transfert automatique, filtre ou accès délégué n’a été ajouté à votre insu. Surveillez aussi vos autres comptes, surtout si leurs liens de réinitialisation arrivent dans cette boîte.
Hudson Rock n’a pas non plus vérifié si un e-mail reçu après la sécurisation complète d’un compte apparaît bien dans le tableau de bord de Remus.
