Onderzoekers hebben een beruchte spambot ontdekt die audio-captcha's kraakt om via Hotmail-accounts spam te versturen. De drie jaar oude Pushdo bot gebruikt geen open relays of een eigen mailserver om te spammen, maar de webmail interface van Hotmail en Live.com. Om ongestoord door te blijven gaan, downloadt Pushdo audio-captcha's die de bot ook oplost.

Audio-captcha's bestaan uit een reeks van cijfers die door een vrouwenstem worden voorgelezen. De gebruiker moet de opgelezen cijfers invoeren, of kan anders niet doorgaan. "Dit is de eerste keer dat ik een Trojaans paard zie dat een audio-captcha probeert te kraken, laat staan er in slaagt", zegt onderzoeker Andrew Brandt van Webroot.

Spam
In het geval van Hotmail zijn de audio-captcha's kleine WAV-bestanden, waar Pushdo geen enkele moeite mee heeft. De bot weet het juiste antwoord binnen drie a tien seconden te geven en heeft hier tussen de twee en zes pogingen voor nodig. Zodra het juiste antwoord is gegeven, begint de bot met het versturen van spam. Periodiek logt de bot uit, en logt vervolgens op een ander Hotmail-account in, om zo niet op te vallen.

De spam maakt reclame voor Hacked Blackbook, dat beweert pornografische afbeeldingen van sociale netwerken te stelen, maar anonieme bronnen die Brandt sprak, zeggen dat het om amateur pornomodellen gaat.