Die Schadsoftware Remus Stealer wird mit einer Funktion beworben, die Angreifern einen Zugriff auf kompromittierte Gmail-Postfächer auch nach einem Passwortwechsel ermöglichen soll. Der Sicherheitsdienstleister Hudson Rock hat diese Behauptung am 9. November 2026 untersucht. Das Ergebnis ist deutlich zurückhaltender als die Werbung: Screenshots und Aussagen einzelner Gesprächspartner belegen nicht, dass nach einer vollständigen Kontowiederherstellung weiterhin neue E-Mails abgefragt werden können.
Die fragliche Funktion soll in Remus 1.3.9 enthalten sein. Malwarebytes griff die Untersuchung am 11. November 2026 auf. Ein bestätigter Gmail-Zero-Day oder ein nachgewiesener allgemeiner Schutzmechanismus-Bypass ist aus den vorliegenden Informationen nicht abzuleiten.
Was die Entwickler von Remus behaupten
Laut Hudson Rock zeigen die Unterlagen zu Remus eine Oberfläche, über die Kriminelle aus einem Datensatz zu einem infizierten Windows-Rechner direkt eine Ansicht des zugehörigen Gmail-Postfachs öffnen können sollen. Die Bilder zeigen Nachrichtenlisten und einzelne E-Mails. Die Anbieter werben zudem damit, dass ein Zugriff auch nach einem Kennwortwechsel und dem Beenden von Sitzungen möglich bleibe.
Der Entwickler gab gegenüber Hudson Rock an, der Zugriff erfolge durch eine Interaktion mit dem Arbeitsspeicher des Browsers. Wie das Verfahren genau arbeitet und ob die beworbenen Schutzumgehungen tatsächlich funktionieren, ließ sich anhand der vorgelegten Informationen nicht überprüfen. Die Behauptungen stammen von den Betreibern eines kriminell angebotenen Dienstes und dürfen nicht mit unabhängigen Testergebnissen gleichgesetzt werden.
Untersuchung bestätigt die behauptete Dauerhaftigkeit nicht
Hudson Rock befragte neben dem Entwickler eine Person, die nach eigenen Angaben die Gmail-Funktion genutzt hatte. Diese schilderte einen fortbestehenden Postfachzugriff nach dem Schließen des Browsers, dem Zurücksetzen einer Sitzung und einer Passwortänderung. Die Aussagen wurden jedoch weder durch einen dokumentierten Kontrollversuch noch durch eine unabhängige Überprüfung des Zugriffsmechanismus bestätigt.
Insbesondere bleibt offen, welche Google-Sitzungen tatsächlich beendet wurden, zu welchem Zeitpunkt das Passwort geändert wurde und ob ein bereits kompromittierter Rechner weiterhin benutzt wurde. Hudson Rock hat die neue Funktion weder rückwärtsanalysiert noch unter kontrollierten Bedingungen nach einer vollständigen Wiederherstellung des Google-Kontos getestet. Die Ergebnisse sind deshalb als Untersuchung der Produktwerbung und nicht als technischer Nachweis einer Gmail-Schwachstelle einzuordnen.
Passwortwechsel und bestehende Kontoberechtigungen
Ein Kennwortwechsel ist bei einem kompromittierten Google-Konto weiterhin eine notwendige Maßnahme. Google weist in seiner offiziellen OAuth-Dokumentation darauf hin, dass Refresh-Tokens unter anderem dann ihre Gültigkeit verlieren können, wenn das Passwort geändert wurde und das Token Gmail-Berechtigungen enthält. Damit ist keineswegs belegt, dass der Remus-Entwickler solche Regeln umgehen kann.
Gleichzeitig kann ein möglicher Kontomissbrauch mehrere Ursachen haben: eine weiterhin aktive Schadsoftware auf dem ursprünglichen Gerät, unberechtigt eingeräumte Zugriffsrechte für Anwendungen oder Veränderungen an Weiterleitungen und Kontoeinstellungen. Wer lediglich das Passwort ändert, ohne den kompromittierten Computer und die Kontoberechtigungen zu überprüfen, kann eine verbleibende Angriffsmöglichkeit übersehen. Daraus folgt aber keine allgemeine Aussage, dass eine Passwortänderung bei Gmail unwirksam wäre.
Weitere technische Hinweise stehen in Googles OAuth-Dokumentation.
So sollten Betroffene ein Gmail-Konto überprüfen
Bei Hinweisen auf einen Infostealer-Befall sollten Betroffene zunächst ein vertrauenswürdiges zweites Gerät für die Kontosicherung verwenden. Auf dem möglicherweise infizierten Windows-Rechner sind eine Untersuchung auf Schadsoftware und gegebenenfalls eine Neuinstallation sinnvoll. Solange der Rechner nicht wieder als vertrauenswürdig gilt, sollten darüber keine neuen Passwörter eingegeben werden.
Im Google-Konto gehören die Sicherheitsereignisse, angemeldete Geräte und Zugriffsrechte externer Anwendungen auf die Prüfliste. Unbekannte Verbindungen sind zu entfernen, Wiederherstellungsmethoden zu überprüfen und eine geeignete Mehrfaktor-Authentifizierung zu aktivieren. In Gmail sollten außerdem automatische Weiterleitungen, Filter, delegierte Postfachzugriffe sowie unbekannte Änderungen an POP-/IMAP-Einstellungen geprüft werden. Solche Regeln könnten unabhängig von gestohlenen Passwörtern Nachrichten offenlegen.
Besondere Aufmerksamkeit verdienen Konten, deren Passwortzurücksetzungen oder Einmalcodes im betroffenen Postfach eintreffen. Auch dort können Sicherheitsüberprüfungen und gegebenenfalls Kennwortwechsel notwendig werden. Google beschreibt die Schritte ausführlich unter „Gehacktes oder manipuliertes Google-Konto schützen“.
Weitere Informationen
Die Untersuchung von Hudson Rock vom 9. November 2026 dokumentiert die Aussagen und ihre Grenzen. Malwarebytes berichtete am 11. November 2026 über die Werbeaussagen und ordnet die nötigen Schutzmaßnahmen ein. Beide Veröffentlichungen sind in englischer Sprache verfügbar; für Googles Kontosicherheit wird die offizielle deutsche Anleitung verlinkt.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten