"Ciò che abbiamo qui è una botnet di web server zombie. Un gruppo di server web infetti e interconnessi, con un centro di controllo comune e coinvolti nella diffusione di malware".

A descrivere in questo modo la situazione recentemente scoperta in Russia è Denis Sinegubko, ricercatore che si occupa di sicurezza, il quale si è imbattuto in un gruppo di circa 100 server Linux infetti.

Oltre ai servizi leciti - offerti sulla porta 80 da Apache - questi server inviano anche del traffico decisamente meno innocuo sulla porta 8080, gestito da un altro web server, nginx.

Quello che non è ancora chiaro è come i server siano stati infettati. Secondo Sinegubko la responsabilità sarebbe da attribuire agli amministratori, non abbastanza accorti da non farsi sniffare la password di root.

Sinebugko spiega che l'attacco usa per certo delle password Ftp sottratte per inserire nelle pagine legittime gli iframe pericolosi. Lo stesso sistema è stato probabilmente usato per ottenere accesso ai server.

DynDNS e No-IP, i due servizi di Dns dinamico usati dai server infetti, hanno già provveduto a disattivare i nomi a dominio indicati dal ricercatore russo, il quale tuttavia segnala che ogni ora vengono registrati due nuovi indirizzi proprio allo scopo di diffondere malware tramite web server compromessi.

Inoltre, considerata la dimensione relativamente contenuta del fenomeno, Sinebugko pensa che si tratta più che altro di una prova generale, e che i veri problemi inizieranno solo in futuro.