Spammere brøt Hotmail-koden

Microsofts kamp for å forhindre spammere fra å registrere horder av kontoer hos Live Hotmail har nok en gang møtt veggen. Den siste versjon av CAPTCHA-systemet er knekket av utspekulerte spammere, melder Techworld.com.

Spammerne har nemlig nok en gang klart å lure Microsofts CAPTCHA, eller Completely Automated Public Turing test to tell Computers and Humans Apart, som det står for.

Masseregistreringene av spammerkontoer er tradisjonelt sett gjennomført via trojaner-infiserte pc-er som fyller inn Hotmails vanlige felter som navn, sted og passord. Deretter lastes selve kremen i antispammer-systemet, CAPTCHA-verifiseringsbildet, over til en annen server for dekoding. Bildet sendes dernest tilbake til klienten for å fortsette Hotmail-registreringen.

Kryptert dekodertrafikk

Microsofts kamp mot slike spammere går i stor grad ut på å endre algoritmen som generer verifikasjonsbildet. Bildet består av tekst med ulike datagenererte forstyrrende elementer. Spammere ser imidlertid ut til å klare å plukke opp algoritmen og endre sine relaterte dekoderprogrammer. Nok en gang har de altså fått til dette og brukket Microsofs siste algoritme.

I tillegg er siste nytt at kommunikasjonen mellom den trojaner-infiserte pc-en og dekoderserveren krypteres, som gjør at slik trafikk blir vanskeligere å oppdage og blokkere. Trikset, som er oppdaget av selskapet Websense, tar angrepsscenarioene til nye sofistikerte høyder.

Med det siste angrepet lykkes dekoderserveren i sin jobb på fem av åtte forsøk, mer enn nok for å generere kontoer til at spammerne får økonomisk gevinst ut av det. En slik CAPTCHA-dekodingprosess tar mellom 20 til 25 sekunder per forsøk per maskin.

Ringvirkninger

At CAPTCHA ikke stopper Hotmail-spammere gir ringvirkninger til øvrige CAPTCHA-systemer der ute, slik som de tilhørende Yahoo og Google. Også bloggesystemer angripes, slik at spammere også kan være til stede der.

Flere forslag ligger på bordet for å pensjonere det forfeilede systemet, inkludert bruk av 3D-bilder som man håper datamaskiner ikke kan dekode.