Hotmail-Captcha per Bot in sechs Sekunden geknackt
Ein Sicherheitsexperte der Websense Security Labs hat in einem Blog-Eintrag berichtet, dass Spammer mit verbesserten Bots schneller als bisher Captcha-Tests von Webmail-Systemen umgehen können. Als “aggressiv und unmittelbar” bezeichnet Websense eine aktuelle Attacke gegen den Hotmail-Captcha, wenn es um den Faktor Zeit geht.
Nur noch sechs Sekunden braucht ein derart automatisierter Versuch, den Schutz gegen automatisierte Accountanmeldungen zu umgehen. Dennoch rechnen Experten mit einem weiteren Einsatz von Captchas, wenn auch nicht unbedingt als einzigem Schutzmechanismus. Ein Captcha-Test ist ein Bild aus verzerrten Zeichen, die identifiziert werden müssen. Derartige Bildrätsel sollen bei vielen Webmail-Services erreichen, dass nur reale Nutzer Accounts registrieren.
Spammer aber haben Interesse an der Nutzung von Webmail-Accounts, die kostenlos, kaum zu verfolgen und nur selten auf Spam-Blacklists zu finden sind. Daher setzen sie inzwischen Registrierungs-Bots ein, die auch Captcha-Mechanismen auszutricksen versuchen. Aktuell ist Hotmail im Visier der Cyberkriminellen, die dabei die Geschwindigkeit ihres Angriffssystems verbessern. Jeder Versuch zum Umgehen des Captcha-Mechanismus braucht mit den neuen Bots kürzer als bei bisherigen derartigen Angriffen, so der Websense-Forscher – im Mittel sechs Sekunden. Die Erfolgsrate ist mit zehn bis 15 Prozent dabei etwas geringer als bei einer Angriffswelle auf Gmails Captcha im Februar.
Captchas sind durch jüngste Angriffe in den Blickpunkt und auch in die Kritik geraten. Dass das automatische Austricksen von Captcha-Tests signifikant zum Spam-Problem beitrage, hat Brad Taylor, ein Spamexperte bei Google, jedoch Mitte März gegenüber der New York Times angezweifelt. Vielmehr kämen niedrig bezahlte Arbeitskräfte in Dritte-Welt-Ländern zum Einsatz, um die Bildrätsel zu lösen. Eine weitere Variante stellte Gunter Ollmann, Forscher von IBMs Internet Security Systems, Ende Februar vor. Kurz nach dem Start von Captchas bei Webmail-Services hätten Angreifer normale Internetznutzer zum Lösen der Bildrätsel ausgenutzt. Willige Rätsellöser wurden mit Gratispornografie angelockt.
“Zur Zeit sind Captcha-Mechanismen ganz brauchbar”, meint Sicherheitssprecher Gerhard Göschl. Allerdings erscheine es sinnvoll, an Verbesserungen zu arbeiten und sie nicht als alleinigen Schutz zu nutzen. “Über kurz oder lang wird es zusätzliche Mechanismen brauchen”, so Göschl. IBM-Forscher Gunter Ollmann findet härtere Worte: “Captchas waren eine gute Idee, aber in der heutigen profitorientierten Angriffsumgebung sind sie als Schutzmechanismus weitgehend irrelevant geworden.” Geeignet seien sie allerdings als Bremsen gegen “Scriptkiddies” – Amateure, die mit vorgefertigten, einfachen Werkzeugen angreifen. Damit spricht sich der Kritiker für eine Beibehaltung aus.
