De Chinese hackeraanval op Google en tientallen andere grote bedrijven is nog altijd gaande, maar de identiteit van de daders begint langzaamaan bekend te worden. Toen Google begin januari "Operatie Aurora" onthulde, bleek dat ook 33 andere bedrijven waren gehackt, waaronder Adobe. Verder vermoeden experts dat er ook is ingebroken bij Yahoo, Symantec, Juniper Networks, Rackspace, Northrop Grumman en Dow Chemical, hoewel deze bedrijven dit niet hebben bevestigd of ontkend. Het Internet Explorer-lek wat de aanvallers gebruikten mag dan inmiddels gepatcht zijn, dat betekent niet het einde van Operatie Aurora. "De aanval is nog steeds gaande en is veel groter", zegt Greg Hoglund, oprichter en CEO van beveiligingsbedrijf HBGary.

Ook Hoglund heeft geen direct bewijs dat de Chinese overheid achter de aanvallen zit, maar dat wil niet zeggen dat het er niet is. Het kan best zijn dat andere onderzoekers of functionarissen hier wel over beschikken, maar het geheim houden, aldus de beveiliger. Het bedrijf heeft een analyse van de gebruikte malware online gezet. De sporen die de onderzoekers in de Aurora code aantroffen, zijn erg kenmerkend voor de ontwikkelaar die de malware compileerde. HBGary zou "markers" in de code hebben aangetroffen die de identiteit van de ontwikkelaar verraden. Wat voor markers dit precies zijn wil het bedrijf niet zeggen. "Dat staat niet in het rapport, omdat we niet willen dat hij weet dat we zijn programmeren kennen. Het is algoritmisch van nature."

Exploit
Inmiddels is er allerlei andere malware verschenen die dezelfde IE-exploit gebruikt, maar die bevatten niet deze specifieke markers. Daardoor konden onderzoekers vaststellen dat dezelfde aanval bij andere bedrijven is ingezet. "Het voelt alsof we een aantal van hen aan hun programmeren kennen, we herkennen hun handelsmerken...tot op de persoon", voegt Kevin Mandia van beveiligingsbedrijf Mandiant toe.

Wat de aanval zelf betreft, is Hoglund van mening dat er niet alleen een lek in Internet Explorer 6 is gebruikt. Ook zou er niet alleen met phishingmails zijn gewerkt voor het verspreiden van de IE-exploit.