Akademi
Tarihsel vakaWindowsSosyal ağ solucanı, botnet
DR-NOS-05

Koobface

2008’de Facebook ve MySpace kullanıcıları arkadaşlarından bir video bağlantısı aldı. Video açılmıyor, “Flash Player güncellemesi gerekli” diyordu. İnen dosya Koobface’ti: ele geçirdiği hesapla aynı iletiyi tüm arkadaş listesine gönderen, kimlik bilgisi toplayan ve sahte antivirüs satan bir solucan. Arkasındaki grubun kimliği ancak 2012’de kamuoyuna açıklandı.

Botnetin büyüklüğüne ilişkin tahminler kaynaktan kaynağa değişiyor; grubun yıllık gelirinin milyonlarca dolar olduğu bildirildi.

KoobfaceFacebooksosyal ağbotnet2008

Aktivite haritası

Wikipedia

Aktivite haritasıFacebookArkadaştan iletiVideo sayfasıYouTube benzeriEXE“Flashgüncellemesi”SahteKoobfaceSolucanArkadaş listesiAçık oturumAynı iletiBütün arkadaşlaraKimlik bilgileriKayıtlı parolalarArama yönlendirmeReklam tıklamasıEXESahte antivirüsPara ister
Çalıştırılabilir yükDosya
Zararlı yükKoobface · Solucan

Koobface bilgisayara yerleşir. Tarayıcıda açık kalan sosyal ağ oturumunu kullanır.

İlk görülme
Ağustos 2008
Yayılma yolu
Facebook, MySpace, Twitter iletileri
Etkilenen bölge
Dünya geneli
Tür
Sosyal ağ solucanı, botnet
01

Genel bakış

Kullanıcı bir arkadaşından ileti alır: “You look so funny on our new video” ve bir bağlantı. Bağlantı YouTube’a benzeyen bir sayfaya gider; video oynamaz, “Flash Player güncellemesi gerekli” der. İnen dosya Koobface’tir; kullanıcının açık sosyal ağ oturumunu kullanarak aynı iletiyi tüm arkadaşlara gönderir. Bilgisayar botnete katılır; kimlik bilgileri toplanır, arama sonuçları yönlendirilir, sahte antivirüs satılır.

Diğer adları: Net-Worm.Win32.Koobface

02

Zaman çizelgesi

  1. Ağustos 2008Kaspersky, MySpace ve Facebook’u hedefleyen iki solucan sürümünü raporladı. Neowin
  2. Aralık 2008“You look so funny on our new video” iletileri Facebook’ta yayılmaya devam etti. TechCrunch
  3. 2009Yeni sürümler Twitter’a ve diğer sosyal ağlara yayıldı; yemler çeşitlendi. Wikipedia
  4. Ocak 2012Facebook ve araştırmacılar, St. Petersburg’da yaşadığı değerlendirilen beş şüpheliyi kamuoyuna açıkladı; ardından ana sunucu kapandı. SecurityWeek
03

Bulaşma zinciri

  1. 1

    Bir arkadaşınızdan Facebook’ta ileti gelir.

    • “You look so funny on our new video” ve bir bağlantı.
  2. 2

    Bağlantı YouTube’a benzeyen bir sayfa açar.

    • Video oynamaz; izlemek için “Flash Player güncellemesi” gerektiği yazar.
  3. 3

    Güncelleme diye inen dosya Koobface’tir.

    • Kurulumdan sonra sayfada yine video yoktur.
  4. 4

    Koobface bilgisayara yerleşir.

    • Tarayıcıda açık kalan sosyal ağ oturumunu kullanır.
  5. 5

    Arkadaş listesi okunur.

    • Facebook, MySpace ve diğer ağlardaki arkadaşlar sıraya alınır.
  6. 6

    Aynı ileti bütün arkadaşlara sizin adınızla gider.

    • Arkadaşlar bağlantıyı tanıdık birinden geldiği için açar.
  7. 7

    Kayıtlı kimlik bilgileri toplanır.

    • Sosyal ağ, e-posta ve diğer hesapların girişleri saldırganlara gider.
  8. 8

    Arama sonuçları başka sitelere yönlendirilir.

    • Her tıklama saldırganlar için reklam gelirine dönüşür.
  9. 9

    Ekranda sahte bir antivirüs belirir.

    • Bilgisayarda olmayan tehditleri listeler ve temizlemek için ödeme ister.
04

Nasıl ortaya çıktı

Koobface, güvenlik firmalarının 2008’deki tespitleriyle tanındı; Facebook yıllarca hesapları temizleyip bağlantıları engelledi. Grubun kimliği, araştırmacıların grubun kendi sosyal medya paylaşımlarından ve sunucu kayıtlarından yaptığı çıkarımlarla belirlendi. Şüpheliler hakkında açılmış bir dava kamuoyuna yansımadı.

05

Kimler etkilendi

Botnetin büyüklüğüne ilişkin tahminler kaynaktan kaynağa değişiyor; grubun yıllık gelirinin milyonlarca dolar olduğu bildirildi. Asıl etki, sosyal ağların bir yayılma kanalı olarak kullanılabileceğinin geniş ölçekte görülmesiydi.

06

Bugünle bağı

“Video oynamıyor, güncelleme gerekli” kalıbı bugün sahte tarayıcı güncellemeleri ve sahte CAPTCHA sayfalarıyla sürüyor. Ele geçirilen sosyal medya hesapları da hâlâ en etkili dağıtım kanalı: alıcı, bağlantıyı bir yabancıdan değil arkadaşından aldığını düşünüyor.

07

Kaynaklar

  1. 1“Koobface” · Wikipedia
  2. 2“Koobface virus still making the rounds on Facebook” (2008) · TechCrunch
  3. 3“Kaspersky Lab detects new worms attacking MySpace and Facebook” (2008) · Neowin
  4. 4“Facebook unmasks reputed Koobface gang members” (2012) · SecurityWeek
  5. 5“Koobface malware ring taken offline” (2012) · Redmond Magazine
Yazı bilgileri
Kategori
Vaka analizi
Tür
Sosyal ağ solucanı, botnet
İlk görülme
Ağustos 2008
Etiketler
  • Koobface
  • Facebook
  • sosyal ağ
  • botnet
  • 2008

Diğer vakalar

2000’lerin ortasıParola hırsızı (bilgi hırsızlarının öncülü)LdPinch (Pinch)2000’lerin ortasında Rusça konuşulan internette ICQ, en yaygın anlık mesajlaşma aracıydı ve kısa, akılda kalan ICQ numaraları (UIN) para ediyordu. Kaspersky, Mayıs 2008’de ICQ numarası hırsızlığının yıllardır sürdüğünü ve ağırlıkla LdPinch ailesiyle yapıldığını raporladı. LdPinch yalnız ICQ’yu değil, e-posta, FTP ve oyun hesaplarını da topluyordu.Devamını oku 2007 civarı; salgın Ocak 2010Ekran kilitleyen fidye yazılımıWinlock2009–2010 kışında Rusya’da milyonlarca bilgisayarın ekranı, kilidin açılması için ücretli kısa numaraya SMS gönderilmesini isteyen bir pencereyle kilitlendi. Dr.Web, Ocak 2010’u Trojan.Winlock salgını olarak duyurdu. Eylül 2010’da Rus polisi, bu düzenle 16 milyon dolar kazandığı değerlendirilen 10 kişiyi gözaltına aldı.Devamını oku 2008Sahte bildirim, sosyal mühendislikAyça_222008–2009 yıllarında Türkiye’de pek çok web sitesinin sağ alt köşesinde, MSN Messenger bildirimine benzeyen bir kutu çıkıyordu: “Ayça_22 şimdi kamera açtı.” Kutu bir mesaj değil, bir reklamdı. Tıklayanları görüntülü sohbet sitelerine götürüyordu; kullanıcı anlatımlarına göre bir kısmı da zararlı yazılımla karşılaştı.Devamını oku

Threat Intelligence

Fidye gruplarını, kurban ilanlarını ve tehdit göstergelerini izleyin; kendi varlıklarınızla eşleşen kayıtları ayrıca görün.

Ürünü incelePaketleri karşılaştırın