Infostealers-ul REMUS, un succesor pe 64 de biți al operațiunii Lumma Stealer, desființate anterior, s-a transformat rapid dintr-un simplu colector de credențiale într-o platformă completă malware-as-a-service, dotată cu capabilități de furt din managere de parole. Concluzia aparține cercetătorilor de la firma de informații despre amenințări Flare, care au publicat joi rezultatele pe BleepingComputer. Descoperirile vin în paralel cu o analiză separată a Unit 42 din cadrul Palo Alto Networks, care detaliază o nouă variantă a infostealer-ului Gremlin, ce utilizează acum virtualizarea instrucțiunilor pentru a evita detectarea — subliniind cât de rapid se adaptează ecosistemul de infostealers la mecanismele moderne de apărare.

Din cenușa Lumma spre maturitatea MaaS

REMUS a apărut pentru prima dată în februarie 2026, luând naștere în urma desființării Lumma Stealer și a identificării publice a presupușilor membri de bază ai acestuia, potrivit Gen Threat Labs, care a documentat inițial malware-ul în aprilie. De la bun început, Remus a moștenit metodele de lucru ale Lumma — ofuscarea șirurilor de caractere, logica anti-mașină-virtuală și execuția prin apeluri directe de sistem — introducând totodată rezoluția de comandă și control bazată pe blockchain prin contracte inteligente Ethereum, o tehnică cunoscută sub numele de EtherHiding.

Cele mai recente cercetări ale Flare au urmărit promovarea malware-ului în mediul underground și au constatat că acesta a evoluat cu mult dincolo de capacitățile inițiale. Până în aprilie 2026, operatorul adăugase suport pentru furtul datelor stocate de extensiile de browser pentru managere de parole, inclusiv 1Password, LastPass și Bitwarden, alături de suport SOCKS5 proxy și funcții de continuitate a sesiunilor. Orientarea spre sesiuni de browser furate și jetoane de autentificare reflectă o tendință mai amplă: datele de sesiune sunt acum adesea mai valoroase pentru atacatori decât parolele statice, deoarece pot ocoli complet autentificarea cu mai mulți factori.

Cercetările mai ample ale Flare din acest an au evidențiat riscul crescând pe care infostealerele îl reprezintă pentru întreprinderi. Raportul firmei din 2026 privind expunerea întreprinderilor la infostealere — „State of Enterprise Infostealer Exposure” —, publicat în februarie, a constatat că mai mult de unul din zece cazuri de infectare cu infostealer conțin acum credențiale de tip Single Sign-On sau Identity Provider pentru întreprinderi, rata respectivă accelerând semnificativ.

Gremlin Stealer adaugă evaziune bazată pe virtualizare

Într-o evoluție paralelă, Unit 42 a publicat o analiză a unei noi variante a stealerului Gremlin, care s-a transformat dintr-un instrument de bază pentru exfiltrarea datelor într-o platformă de amenințare modulară, potrivit Infosecurity Magazine. Detectată pentru prima dată la mijlocul anului 2025, cea mai recentă versiune Gremlin utilizează virtualizarea instrucțiunilor printr-o mașină virtuală privată ce execută bytecode personalizat, îngreunând atât analiza statică, cât și ingineria inversă.

Varianta actualizată Gremlin introduce, de asemenea, un crypto clipper care înlocuiește în timp real adresele portofelelor de criptomonede din clipboard, un modul de deturnare a sesiunilor bazat pe WebSocket și o extracție extinsă a tokenurilor Discord. Metodele principale de exfiltrare — panouri web private și API-ul Telegram Bot — rămân intacte, însă noul strat de ofuscare, care ascunde payload-urile malițioase în secțiunile de resurse .NET folosind codificare XOR, este conceput pentru a eluda detecția bazată pe semnături.e

Un peisaj al amenințărilor tot mai aglomerat și în accelerare

Evoluția simultană a REMUS și Gremlin ilustrează ritmul inovației în ecosistemul infostealer. Raportul Global de Răspuns la Incidente Unit 42 pentru 2026 a constatat că cele mai rapide atacuri ajung acum la exfiltrarea datelor în 1,2 ore, față de 4,8 ore în anul precedent, tehnicile bazate pe identitate fiind responsabile pentru accesul inițial în 65% dintre cazuri. Odată cu vizarea tot mai frecventă a credențialelor enterprise, a token-urilor de sesiune și acum a seifurilor managerilor de parole de către infostealere, apărătorii se confruntă cu un decalaj tot mai mare între viteza compromiterii și viteza răspunsului.

Surse:

https://www.bleepingcomputer.com/

https://www.gendigital.com/blog/insights/research/remus-64bit-variant-of-lumma-stealer

Remus: Unpacking the 64-bit Evolution of the Lumma Stealer