La versión 1.3.9 de Remus Stealer se anuncia como capaz de abrir buzones desde su panel de control, interceptar códigos de verificación sin recopilar cookies y compartir el acceso mediante enlaces. Su desarrollador sostiene que extrae datos de la memoria del navegador y luego deja de ejecutarse, pero no ha explicado cómo funciona el proceso.

Hudson Rock examinó el anuncio, las capturas del panel y los testimonios del vendedor y de un supuesto cliente. Las imágenes muestran listas de correos, mensajes y una opción para abrir el buzón, pero no permiten saber cuándo se obtuvieron esos mensajes ni si el acceso seguía activo. Tampoco se documentaron las sesiones afectadas, la configuración de la cuenta o la secuencia de los hechos.

Hudson Rock no hizo ingeniería inversa de la función ni pruebas controladas. Malwarebytes, que recoge su investigación, señala que no se ha demostrado que Remus pueda leer mensajes nuevos después de asegurar completamente una cuenta, ni que explote una vulnerabilidad desconocida de Gmail o permita superar universalmente la autenticación multifactor. Google indica que cambiar la contraseña normalmente invalida los tokens de acceso, aunque contempla excepciones.

La existencia de Remus como ladrón de información para Windows sí cuenta con análisis técnicos previos. Check Point identificó un anuncio del programa en un foro clandestino el 12 de febrero; Gen Digital sitúa las primeras campañas a comienzos de ese año y considera que Remus es una evolución de Lumma. Sus investigadores hallaron versiones de prueba llamadas Tenzor, compiladas en septiembre de 2025. El Center for Internet Security documentó campañas de distribución entre marzo y septiembre de este año, mediante falsas verificaciones de usuario y programas pirateados, entre otros métodos.

Malwarebytes recomienda, si se sospecha una infección, proteger la cuenta desde otro dispositivo fiable, cambiar la contraseña y revisar las sesiones, las aplicaciones autorizadas y las opciones de recuperación. También aconseja desconectar el equipo afectado y eliminar el malware antes de volver a iniciar sesión desde él. Estas medidas no constituyen una confirmación de que la nueva promesa comercial de Remus funcione.