Ondanks aanpassingen die Microsoft aan de captcha-beveiliging van Hotmail heeft gemaakt, zijn spammers er weer in geslaagd die te kraken en te gebruiken voor het automatisch aanmaken van accounts. Vorig jaar werd bekend dat de captcha-beveiliging niet meer voldoende was om bots op afstand te houden en ook dit jaar was het raak. Daarop besloot Microsoft het captcha-systeem aan te passen om misbruik door bots te voorkomen, zonder dat dit invloed op de bruikbaarheid en betrouwbaarheid zou hebben. "Die pogingen hebben gefaald," stelt beveiligingsbedrijf Websense.

De aanval op Hotmail bestaat uit drie delen. De bot installeert zichzelf als een service en gebruikt Internet Explorer op de besmette machine om het gehele proces uit te voeren. Als eerste krijgt een geïnfecteerde machine de opdracht en aanvullende informatie voor het breken van de captcha. Tijdens de tweede stap maakt de bot verbinding met Live Hotmail om een account aan te maken. De captcha afbeelding wordt dan doorgestuurd naar de host die hem moet kraken. Weet de bot de captcha te kraken, dan begint die met spammen vanaf de aangemaakte Hotmail accounts.

Volgens Websense zijn de bots in ongeveer 10% tot 15% van de pogingen succesvol. "De nieuwste spambot die Microsoft's aangepaste captcha-systeem aanvalt combineert de eigenschappen van spambots die ook Google's Blogger en Microsoft's Live diensten aanvielen. De nieuwe aanval is de gecombineerde aanpak van virusschrijvers en spammers die continu werken om hun aanval te verbeteren," aldus onderzoeker Sumeet Prasad.