Taurus Loader
Os cibercriminosos por trás da ameaça do Taurus Loader (também rastreado como Taurus Stealer) continuam mudando e evoluindo rapidamente na forma como sua criação ameaçadora está sendo entregue. O Touro possuía técnicas impressionantes de evasão, anti-detecção e anti-análise, mesmo em suas versões iniciais. No entanto, desde então, os hacks modificaram cada método descoberto pelos pesquisadores da infosec, mantendo o Taurus o mais relevante e perigoso possível.
A inovação mais recente, identificada pelos pesquisadores do Minerva Lab, inclui enganar usuários desavisados para que baixem e executem eles próprios a ameaça. Os operadores de Taurus criaram vários sites que hospedam um GIF instrucional. Os usuários que desejam obter versões ilícitas ou crackeadas de aplicativos protegidos por direitos autorais pesquisando no Google correm o risco de entrar em um desses sites de iscas. O GIF então guiará o visitante pelas etapas necessárias para a suposta instalação do produto de software desejado. Sem o conhecimento dos usuários, eles têm verificado os pré-requisitos para a entrega e execução do carregador Taurus em seus sistemas. Deve-se notar que os hackers colocaram verificações CAPTCHA para proteger o site que entrega a ameaça de ser acessado por ferramentas automatizadas implantadas por pesquisadores.
Uma vez dentro do dispositivo, o Taurus fará suas várias digitalizações para determinar se o sistema é seguro para continuar com sua funcionalidade prejudicial. A ameaça verifica a localização do usuário e não será iniciada em nenhum dos países atuais ou anteriores da CEI - Azerbaijão, Armênia, Bielo-Rússia, Geórgia, Cazaquistão, Quirguistão, Moldávia, Rússia, Tadjiquistão, Turcomenistão, Uzbequistão e Ucrânia. Ele usa uma técnica de anti-emulação envolvendo o Windows API SetErrorMode, emprega uma técnica de anti-análise baseada em computação calculando a soma do problema Basel e muito mais.
Novas infecções do Taurus ainda estão sendo detectadas quase diariamente, apesar da ameaça ser completamente analisada em vários relatórios de pesquisa publicados por vários fornecedores de segurança. Parece que, com os ajustes rápidos da própria ameaça e a integração de novos vetores de infecção, os cibercriminosos garantiram que o Taurus permanecesse no poder no cenário do malware.
