威胁情报厂商 Hudson Rock 监测到地下论坛正在售卖 Remus Stealer 信息窃取木马的高级订阅功能，企业版套餐每月 1000 美元，卖家声称拿下目标设备权限后，就算受害者修改 Gmail 密码、在谷歌账号后台吊销全部登录会话、关闭浏览器，黑客依旧能持续读取邮箱、拦截验证码和重置链接，这个工具和传统偷 Cookie 的盗号木马不一样，它宣称不靠保存浏览器 Cookie，而是读取浏览器内存拿到可复用授权凭证，就算本地木马程序退出，远程后台还能持续访问邮箱；这套工具属于按订阅付费的盗号服务，分三档套餐，越高档权限越强，买家可以在后台直接检索邮件、转发邮箱访问权限给其他同伙，一旦中招，绑定这个邮箱的各类社交、支付、企业账号都有连锁被劫持的风险；目前安全机构只拿到卖家宣传截图、和开发者、买家的访谈记录，还没有独立复现验证这套持久访问能力，谷歌暂未针对该工具发布官方漏洞说明，普通用户和企业不能只靠改密码自保，需要先全盘查杀中毒设备，再在干净设备上重置账号、开启强认证、定期核查第三方授权，才能降低风险。
一、Remus Stealer Gmail 工具基础信息表
| 项目 | 详情 |
|---|---|
| 工具名称 | Remus Stealer（版本 1.3.9） |
| 售卖渠道 | 地下黑产论坛，订阅制收费 |
| 档位价格 | 基础版 250 美元 / 月、Pro 版 500 美元 / 月、Enterprise 企业版 1000 美元 / 月 |
| 核心宣传卖点 | 修改 Gmail 密码、吊销会话、关闭浏览器后，依旧保持邮箱访问 |
| 宣传技术路径 | 读取浏览器内存获取授权，不依赖传统 Cookie 窃取 |
| 后台功能 | 邮件检索、查看验证码、邮箱权限共享、批量管理受害邮箱 |
| 风险传导 | 拦截各类平台重置链接、短信验证码，横向接管关联账号 |
| 验证状态 | 黑产单方面宣传，Hudson Rock 暂未独立验证该持久能力 |
| 谷歌官方回应 | 截至报道时间，暂无官方声明与漏洞公告 |
二、这套盗号工具的攻击流程清单
- 前置入侵：通过钓鱼附件、破解软件、恶意脚本，在受害者电脑植入 Remus Stealer 木马。
- 内存读取：木马在浏览器已经登录 Gmail 的状态下，读取浏览器内存，提取可复用授权凭证。
- 程序退出：木马完成凭证抓取后可以自行退出，不留常驻进程，降低杀毒软件查杀概率。
- 远程访问：黑客在 Remus 后台，依托拿到的授权持续拉取邮箱内容，不用再次登录账号。
- 受害者自救（无效）：用户修改密码、在谷歌账号页面吊销所有会话，卖家宣称不阻断访问。
- 横向渗透：黑客读取邮箱内的重置邮件、验证码，入侵绑定该邮箱的其他平台账号。
三、和传统 Cookie 盗号木马的差异对比
✅ Remus Stealer 本次宣传特性
- 宣称不依赖 Cookie 文件，抓取内存授权
- 宣传可抵御改密码、账号会话吊销操作
- 木马可执行后退出，无常驻进程，隐蔽性更强
- 后台自带邮箱检索、权限分发功能，适合黑产团伙分销
- 核心是导出浏览器 Cookie 文件
- 用户修改密码、吊销会话后，Cookie 直接失效
- 大多需要留存 Cookie，容易被安全工具扫描识别
- 拿到 Cookie 后还需要配套工具导入才能登录
❌ 传统 Cookie 窃取木马
四、用户与企业应急防护操作清单
- 设备查杀：优先全盘杀毒，确认终端没有残留恶意程序；如果确认中毒，优先重装系统最稳妥。
- 干净设备改密：必须用一台确认安全、没有中毒的设备修改谷歌账号密码，不要在原中毒电脑操作。
- 二次清理授权：进入谷歌账号安全页面，吊销所有设备、第三方应用、OAuth 授权。
- 开启 2FA 强验证：优先使用硬件密钥、谷歌验证器，不要只用短信验证码。
- 定期审计：定期查看谷歌账号登录日志，关注陌生地区、陌生设备登录记录。
- 企业侧管控：禁止员工打开来路不明附件、破解工具，终端部署 EDR、内存行为检测，拦截信息窃取类木马。
【相关 FAQ】
问题 1：黑产售卖月费千美元 Remus Stealer Gmail 工具，这个工具真的改密码也拦不住吗？
回答 1：黑产售卖月费千美元 Remus Stealer Gmail 工具，该持久访问能力是黑产单方面宣传，Hudson Rock 安全团队目前还没有独立复现验证，不能直接认定为已确认的谷歌零日漏洞，但依然需要按高危场景做好防护。
问题 2：黑产售卖月费千美元 Remus Stealer Gmail 工具，它和普通盗号木马有什么区别？
回答 2：黑产售卖月费千美元 Remus Stealer Gmail 工具，传统盗号木马大多偷 Cookie，改密码、吊销会话就会失效；Remus Stealer 宣传读取浏览器内存拿授权，不靠 Cookie，宣称木马退出、用户改密之后依旧能访问邮箱，隐蔽性和威胁层级更高。
问题 3：黑产售卖月费千美元 Remus Stealer Gmail 工具，中招 Gmail 之后只改密码够不够？
回答 3：黑产售卖月费千美元 Remus Stealer Gmail 工具，只改密码风险很高，按照宣传逻辑，改密无法阻断访问；正确顺序是先清理中毒终端，再用干净设备改密码、吊销全部授权、开启二次验证，同时持续监控登录日志。
问题 4：黑产售卖月费千美元 Remus Stealer Gmail 工具，哪些人更容易成为目标？
回答 4：黑产售卖月费千美元 Remus Stealer Gmail 工具，经常用 Gmail 注册各类平台、邮箱存放业务单据、资金凭证、企业账号的用户，一旦被入侵，黑客可以通过邮箱内的重置链接接管大量关联账号，企业员工、外贸从业者、运维人员风险更高。
【参考资料】
[2026-11-14]（黑客兜售月费千美元 Gmail 工具，Remus Stealer 宣称改密后仍可持久访问）Cybernews
[2026-11-12]（Remus Stealer 木马订阅服务，可在密码重置后持续访问 Gmail）Security Affairs
[2026-11-11]（Hudson Rock 披露 Remus Stealer：地下售卖持久 Gmail 访问能力）Tom's Guide
[2026-11-11]（Remus Stealer 1.3.9，黑产新的邮箱持久访问方案）FreeBuf
[2026-11-10]（$1000/month hacking tool claims persistent Gmail access after password reset）Hudson Rock Threat Report
【免责声明】
本文内容仅整理 Hudson Rock 等安全机构公开的威胁情报，Remus Stealer 宣称的 Gmail 持久访问能力尚未得到独立验证，不代表确认存在谷歌官方未披露漏洞；防护方案仅为通用安全建议，无法保证 100% 抵御新型内存窃取类木马；本文不提供任何黑客工具下载、使用教程，请勿访问地下黑产论坛，账号安全操作以谷歌官方安全指引为准。
本文来自作者[烬粒守核师]投稿，不代表乌兰科技网立场，如若转载，请注明出处：https://www.wlcbnews.com/shangye/202611/2781.html
评论列表（4条）
我是乌兰科技网的签约作者“烬粒守核师”！
希望本篇文章《黑产售卖月费千美元 Remus Stealer Gmail 工具，宣称改密、吊销会话仍可持久收信》能对你有所帮助！
本站[乌兰科技网]内容主要涵盖：互联网行业的追踪与探索
本文概览：威胁情报厂商 Hudson Rock 监测到地下论坛正在售卖 Remus Stealer 信息窃取木马的高级订阅功能，企业版套餐每月 1000 美元，卖家声称拿下目标设备权限后，就算受害者修改 Gmail 密码、在谷歌账号后台吊销全部登录会话、关闭浏览器，黑客依旧能持续读取邮箱、拦截验证码和重置链接，这个工具和传统偷 Cookie 的盗号木马不一样，它宣称不靠保存浏览器 Cookie，而是读取浏览器内存拿到可复用授权凭证，就算本地木马程序退出，远程后台还能持续访问邮箱；这套工具属于按订阅付费的盗号服务，分三档套餐，越高档权限越强，买家可以在后台直接检索邮件、转发邮箱访问权限给其他同伙，一旦中招，绑定这个邮箱的各类社交、支付、企业账号都有连锁被劫持的风险；目前安全机构只拿到卖家宣传截图、和开发者、买家的访谈记录，还没有独立复现验证这套持久访问能力，谷歌暂未针对该工具发布官方漏洞说明，普通用户和企业不能只靠改密码自保，需要先全盘查杀中毒设备，再在干净设备上重置账号、开启强认证、定期核查第三方授权，才能降低风险。