Die Security-Labs der IT-Sicherheitsfirma Websense warnen vor einer neuen Spam-Welle, die über Microsofts kostenlosen E-Mail-Service Windows Live Hotmail läuft. Die Spam-Versender haben laut Websense den Sicherheitsmechanismus von Hotmail ausgehebelt.

Ende vergangenen Jahres hat Microsoft den »Captcha«-Sicherheitsmechanismus von Windows Live Hotmail überarbeitet. Ein Captcha ist eine Zeichenfolge, die der Benutzer eingeben muss, wenn er eine E-Mail versenden möchte. Auf diese Weise soll verhindert werden, dass Spammer mithilfe von Bots oder anderen Programmen über solche kostenfreien E-Mail-Services in großem Stil unerwünschte Werbung verschicken.

Wie Sumeet Prasad, ein Mitarbeiter der Websense-Security-Labs in einem Weblog-Beitrag erläutert, haben Spam-Versender nun einen Weg gefunden, auch die neue Captcha-Version von Hotmail auszutricksen. Laut Prasad greifen die Spammer dabei auf ferngesteuerte Rechner zurück (Zombies), die mit Malware infiziert und in ein Bot-Netz integriert wurden.

Ein Server des Spam-Versenders übermittelt über eine verschlüsselte Verbindung an diese Zombies Instruktionen. Sie enthalten unter anderem Windows-Live-IDs, damit sich der Rechner beim Microsoft-Service anmelden kann.

Wenn das Captcha-Bildchen auftaucht, übermittelt der ferngesteuerte Rechner dies an den Host-Rechner des Spammers. Dort erfolgt die »Entzifferung« der Zeichenfolge; anschließend wird das Resultat an den Bot-Netz-Rechner zurückübertragen.

Erfolgsquote von bis zu 20 Prozent

Nach Angaben von Websense erschwert es insbesondere die verschlüsselte Kommunikation zwischen Server und Bot-Net-Client-System, solchen Machenschaften auf die Spur zu kommen. Etwa 12 bis 20 Prozent der Versuche, auf diese Weise den Captcha-Schutz zu unterlaufen, sind nach Angaben der Sicherheitsfirma erfolgreich.

Die Kommunikation zwischen Spam-Host-Rechner und dem Client dauert im Schnitt nur 20 bis 25 Sekunden. Damit ist sichergestellt, dass der Server schwerer aufzuspüren ist.

Eine detaillierte Beschreibung der Attacke ist im Blog-Beitrag von Prasad zu finden.