REMUS Infostealer 正快速進化：由 Lumma 後繼者變成身份攻擊型 MaaS 威脅

資訊竊取型惡意軟件（infostealer）過去主要目標是瀏覽器密碼或加密貨幣錢包。不過最新一波威脅已經改變策略：直接偷走整個身份環境。

最新安全研究指出，REMUS infostealer 已由一個與 Lumma 相關的憑證竊取工具，快速演化為一個結構化的 Malware‑as‑a‑Service（MaaS）平台。它不只偷密碼，還會收集瀏覽器 session、身份驗證 token，甚至密碼管理器資料，令攻擊者能在極短時間內接管企業帳戶。

由 Lumma Stealer 演化而來

REMUS 與知名惡意軟件 Lumma Stealer 有明顯技術血統。Lumma 自 2022 年起已在地下論壇以 MaaS 形式出售，是一個成熟的資訊竊取家族。

研究人員在 2026 年初觀察到 REMUS 活躍於多個攻擊活動，其程式行為與 Lumma 高度相似，例如：

• 字串混淆（string obfuscation）
• 防虛擬機偵測（anti‑VM checks）
• 逃避分析的惡意技術

這些特徵顯示 REMUS 很可能是 Lumma 生態系的進化版本或分支。目前兩者仍同時在攻擊活動中出現。

轉型為商業化 Malware‑as‑a‑Service

研究人員分析地下論壇討論後發現，REMUS 並非單一攻擊者使用，而是以 商業化 MaaS 形式運作。

在 2026 年初的活動中，研究團隊已找到 超過一百個與 REMUS 生態相關的地下帖子，顯示其分銷與宣傳正在擴大。

這種模式令多個威脅組織都可以租用或購買這套惡意工具，大幅提升攻擊規模與傳播速度。

開始鎖定密碼管理器資料

REMUS 其中一個最受關注的新能力，是針對密碼管理器瀏覽器擴充程式。

報告指出，它可以從以下工具收集資料：

• 1Password
• LastPass
• Bitwarden

惡意程式會從瀏覽器儲存系統（例如 IndexedDB）擷取擴充程式資料。這些資料通常包含加密 vault 的相關資訊或操作資料。

即使密碼管理器的加密機制仍然存在，攻擊者仍可能取得：

• session 資訊
• metadata
• vault 存取相關痕跡

這些資料可用來進一步嘗試取得帳戶存取權。

研究人員指出，密碼管理器是極高價值目標，因為它們通常集中存放：

• SaaS 平台登入
• 企業管理員帳戶
• VPN 憑證
• 開發者系統
• 個人帳戶

因此只需感染一部工作電腦，就可能暴露整個身份網絡。

Session 與 Token 竊取：可繞過 MFA

REMUS 的另一個關鍵變化是強調 session 和 token 竊取。

傳統惡意軟件會偷帳號密碼，但新一代 infostealer 會直接抓取：

• 瀏覽器 cookies
• authentication tokens
• 已登入的應用程式 session

這些資料代表「已通過驗證」的狀態，因此攻擊者往往可以直接重用，而不用重新登入。

結果就是：即使系統有 多重驗證（MFA），仍可能被繞過。

這大幅縮短從感染設備到企業帳戶被入侵的時間。

利用 EtherHiding 隱藏基礎設施

REMUS 亦引入新的基礎設施策略，令防禦與封鎖更加困難。

研究顯示該惡意軟件使用 EtherHiding 技術：

• 將 C2（command‑and‑control）設定資料存放於 Ethereum 智能合約
• 惡意程式從區塊鏈取得控制伺服器資訊

由於區塊鏈資料難以刪除或關閉，這種方式令攻擊基礎設施更具韌性。

與 Gremlin Stealer 的進化方向比較

REMUS 並不是唯一正在快速進化的 infostealer。

安全研究人員同時追蹤到 Gremlin stealer 的新版本。

Gremlin 的最新變化包括：

• 由單一憑證竊取工具變成 模組化惡意工具包
• 新增更多功能模組
• 強化隱蔽與反分析能力

Unit 42 研究指出，新版本使用一種封裝工具將原始程式轉換為 自訂 bytecode，並由私人虛擬機執行，以阻礙逆向工程。

簡單比較：

• REMUS：專注身份攻擊與大規模分發（MaaS、session hijacking、密碼管理器目標）
• Gremlin：專注隱蔽性與模組化擴展（虛擬化混淆、反分析技術）

兩者都反映同一趨勢：infostealer 正變得更複雜、更難偵測。

大趨勢：攻擊目標已變成「身份」

REMUS 的出現反映攻擊者策略的重大轉變。

過去他們只偷密碼，但現在目標是整個 已認證環境：

• sessions
• tokens
• 儲存憑證
• 身份系統資料

威脅規模亦相當驚人。安全分析顯示，2025 年約有 18 億個憑證透過 infostealer 活動被竊取。

對企業安全意味甚麼

REMUS 的演化對企業防禦提出幾個重要警號：

• 端點感染 = 身份被入侵：一旦 session 或 token 被偷，攻擊者可立即登入系統
• MFA 已不足夠：session 重用可以繞過 MFA 流程
• 密碼 vault 成為高價值目標：集中存放大量帳戶

因此企業愈來愈需要採取額外防護，例如：

• 即時撤銷 session
• 裝置信任驗證（device trust）
• EDR 端點偵測
• 異常登入監控

總結

REMUS 展示了 infostealer 生態系的快速演化。

一個原本類似 Lumma 的憑證竊取工具，如今已發展成可大規模部署的 身份攻擊 MaaS 平台，專門針對 session、token 與密碼管理器資料。

再加上 Gremlin 等其他 stealer 的技術升級，一個趨勢已非常清晰：

攻擊者不再只是偷密碼，而是直接偷走已登入的身份存取權。

對企業而言，這意味著一次端點感染可能在幾分鐘到幾小時內，迅速演變成整個帳戶與系統被入侵。