Akademi
Tarihsel vakaWindowsSahte bildirim, sosyal mühendislik
DR-NOS-01

Ayça_22

2008–2009 yıllarında Türkiye’de pek çok web sitesinin sağ alt köşesinde, MSN Messenger bildirimine benzeyen bir kutu çıkıyordu: “Ayça_22 şimdi kamera açtı.” Kutu bir mesaj değil, bir reklamdı. Tıklayanları görüntülü sohbet sitelerine götürüyordu; kullanıcı anlatımlarına göre bir kısmı da zararlı yazılımla karşılaştı.

Etkilenen kişi sayısına ilişkin güvenilir bir ölçüm yok.

MSNsosyal mühendisliksahte bildirimTürkiye

Aktivite haritası

Aktivite haritasıHerhangi bir siteReklam alanıSahte MSNbildirimiAyça_22TıklamaKullanıcı yönlendirilirGörüntülüsohbet sitesiMessenger değilReklam geliriTıklama başınaEXE“Kamera eklentisi”Kullanıcı anlatımı
Çalıştırılabilir yükDosya
ReklamSahte MSN bildirimi · Ayça_22

“Ayça_22 şimdi kamera açtı.” Bildirim kendi Messenger’ınızdan geliyormuş gibi görünür; aslında bir reklamdır.

İlk görülme
2008
Yayılma yolu
Web sitelerinde reklam alanı
Etkilenen bölge
Türkiye
Tür
Sahte bildirim, sosyal mühendislik
01

Genel bakış

Kullanıcı herhangi bir sitede gezinirken sağ alt köşede MSN bildirimi görünümünde bir kutu açılır. Kutu, bir kişinin kamerasını açtığını söyler; kullanıcının kendi Messenger’ından geldiği izlenimini verir. Tıklama kullanıcıyı görüntülü sohbet ya da yetişkin içerik sitesine götürür. Kullanıcı anlatımlarına göre bazı yönlendirmeler “kamera eklentisi” ya da “codec” adıyla dosya indirtir; bu dosyalar zararlı yazılım taşıyabilir.

02

Zaman çizelgesi

  1. 2008Görüntülü sohbet sitelerine yönlendiren sahte MSN bildirimleri Türkçe sitelerde görülmeye başlandı. Hardware Plus
  2. 2009Kampanya yaygınlaştı; Ekşi Sözlük ve Uludağ Sözlük’te başlık açıldı. Ekşi Sözlük
  3. 2010’lar“Ayça_22” bir internet şakasına dönüştü; ad, dönemin MSN kültürüyle birlikte anılmaya devam etti. Hardware Plus
03

Bulaşma zinciri

  1. 1

    Bir sitede gezinirken sağ alt köşede bir kutu açılır.

    • Kutu, MSN Messenger bildirimine birebir benzer.
  2. 2

    “Ayça_22 şimdi kamera açtı.”

    • Bildirim kendi Messenger’ınızdan geliyormuş gibi görünür; aslında bir reklamdır.
  3. 3

    Kutuya tıklayan kullanıcı başka bir siteye götürülür.

    • Kutu pek çok Türkçe sitenin reklam alanında görünüyordu.
  4. 4

    Her tıklama reklam gelirine dönüşür.

    • Amaç, sitelere ziyaretçi taşımaktı.
  5. 5

    Açılan sayfa görüntülü sohbet ya da yetişkin içerik sitesidir.

    • Bildirimin Messenger’la hiçbir bağı yoktur.
  6. 6

    Bazı sayfalar “kamera eklentisi” ya da “codec” indirmenizi ister.

    • Kullanıcı anlatımlarına göre bu dosyalar zararlı yazılım taşıyabiliyordu.
04

Nasıl ortaya çıktı

Kampanya bir güvenlik firmasının raporuyla değil, kullanıcıların kendisiyle ortaya çıktı. Bildirimin her sitede aynı köşede, aynı adla çıkması ve Messenger kapalıyken de görünmesi sahteliği belli etti; sözlüklerdeki başlıklar uyarı işlevi gördü. Yıllar sonra bir teknoloji girişimcisinin paylaştığı 2008 tarihli ekran görüntüsü, kampanyanın daha eski kopyalarının bulunduğunu gösterdi.

05

Kimler etkilendi

Etkilenen kişi sayısına ilişkin güvenilir bir ölçüm yok. Hedef, Türkçe içerik tüketen ve MSN Messenger kullanan geniş kitleydi. Kalıcı etkisi bir veri sızıntısından çok, sahte bildirim yönteminin Türkiye’de bu kadar tanınır hâle gelmesiydi.

06

Bugünle bağı

Bugün aynı yöntem tarayıcı bildirim izinleri, sahte CAPTCHA sayfaları ve “güncelleme gerekli” pencereleriyle sürüyor. Fark şu: tıklamanın sonunda artık çoğu zaman bir bilgi hırsızı (infostealer) var ve tarayıcıdaki parolalar, çerezler ve oturumlar dakikalar içinde satışa çıkıyor.

07

Kaynaklar

  1. 1“ayça_22 şimdi kamera açtı” · Ekşi Sözlük
  2. 2“ayça 22” · Uludağ Sözlük
  3. 3“MSN Efsanesi Ayça_22 Kim?” · Hardware Plus
Yazı bilgileri
Kategori
Vaka analizi
Tür
Sahte bildirim, sosyal mühendislik
İlk görülme
2008
Etiketler
  • MSN
  • sosyal mühendislik
  • sahte bildirim
  • Türkiye
Professional paketinden itibaren

Phishing & Brand Protection

Markanızı taklit eden alan adlarını, oltalama sayfalarını, reklam ve ilanları izleyin; kaldırma talebini panelden açın.