De aanval die afgelopen zaterdag ervoor zorgde dat verschillende websites, zoals Nu.nl, Ilse.nl en Startpagina.nl, een met Trojaans paard besmette reclames lieten zien, is zorgvuldig gepland, zo heeft een Finse hacker laten weten. Volgens de hacker "Matt" heeft men via de aanval de Backdoor.Win32.Agent.ec op PC's van bezoekers van de sites willen verspreiden en heeft de Bofra worm, zoals door sommige media werd gesuggereerd, niets met het incident te maken. "De aanvallers hebben de javascript code op de advertentieservers van Falk AG aangepast, waardoor Internet Explorer gebruikers werden doorverwezen naar een pagina op search.comedycentral.com waar de exploit code gehost werd. Vanaf daar werden verschillende downloader Trojans gebruikt om een backdoor Trojan van gamedev.he.net te downloaden. Via de backdoor kan een aanvaller volledige controle over de PC krijgen", aldus Matt. De aanval zou uit de volgende stappen hebben bestaan:

• De gehackte Falk eSolutions AG server stuurde door het IFRAME lek een document met de locatie van de exploit code naar de bezoekers van websites waar de aangepaste reclames werden getoond.
  
• Een gehackte Comedy Central server hoste de exploit code in HTML formaat. Het document was 8474 bytes en in Unicode formaat. In het document was Javascript aanwezig om de buffer overflow uit te voeren. De shell code die door de exploit code gemaakt werd was 330 bytes. Het bevatte instructies om een uitvoerbaar bestand te downloaden.
  
• De Trojan-Downloader.Win32.Small.aaq werd gebruikt om de laatste backdoor te downloaden. De Trojan was 3114 bytes en werd in de root directory van C: bewaard als bla.exe.
  
• De laatste Trojan, Backdoor.Win32.Agent.ec werd in de root directory van C: als winampa.exe opgeslagen, waarna bla.exe werd verwijderd. De Trojan is 47616 bytes groot.