# Koobface

Bei Koobface handelt es sich um einen Computerwurm, der Windows-, macOS- und Linux-Systeme attackiert. Die Ziele des Angriffs sind Zugangsdaten von Social-Media-Webseiten wie Facebook, Skype, Yahoo Messenger und Twitter, wie auch E-Mail-Webseiten wie Gmail, Yahoo Mail und AOL Mail.

## Versionen und Derivate

Es konnten mehrere Varianten des Koobface-Wurms identifiziert werden:
* Worm:Win32/Koobface.gen!F
* Net-Worm.Win32.Koobface.a, attackiert Myspace
* Net-Worm.Win32.Koobface.b, attackiert Facebook
* WORM_KOOBFACE.DC, attackiert Twitter
* W32/Koobfa-Gen, attackiert Facebook, Myspace, hi5, Bebo, Friendster, myYearbook, Tagged, Netlog, Badoo und fubar
* W32.Koobface.D
* OSX/Koobface.A, eine macOS-Version die via Social Networks wie Facebook, MySpace und Twitter verbreitet wird.

## Infektion

Das Ziel von Koobface ist es, nach einer erfolgreichen Infektion die Login-Daten von FTP-Seiten, Facebook, Skype und weiteren Social-Media-Webseiten zu sammeln, sowie vertrauliche finanzielle Daten zu erlangen. Bereits kompromittierte Computer vereinigen sich dann zu einem Peer-to-Peer-Botnet. Durch die Peer-To-Peer-Struktur werden Befehle an andere Rechner weitergegeben oder empfangen. Das Botnet wird verwendet, um zusätzliche Malware zu installieren, sowie auch um Suchanfragen auf Werbeanzeigen umzuleiten. Weiters wird das Botnet genutzt, um gefälschte Nachrichten an befreundete Nutzer von Social-Media-Seiten zu senden, um sich noch weiter zu verbreiten. Erstmals entdeckt wurde Koobface im Dezember 2008, eine wirksamere Version erschien im März 2009. Eine Studie von Information Warfare Monitor, ein Zusammenschluss von SecDev Group und Citizen Lab in der Munk School of Global Affairs an der Universität Toronto fand heraus, dass die Botnetz-Betreiber einen Umsatz von 2 Millionen Dollar von Juni 2009 bis Juni 2010 erzielten.
Ursprünglich verteilte sich Koobface, indem der Wurm Facebook-Nachrichten an „Freunde“ des Benutzers schickte, dessen Computer bereits infiziert war. Inhalt der Nachricht war eine Weiterleitung an eine Drittseite (oder einen anderen bereits von Koobface befallenen Computer), auf der der Benutzer aufgefordert wurde, ein Update des Adobe Flash Players herunterzuladen. Beim Ausführen der geladenen Datei infiziert sich der Rechner mit dem Koobface-Wurm. Danach ist der Wurm in der Lage, die Suchmaschine des Computers zu nutzen, um diesen auf mit anderer Malware infizierte Webseiten zu leiten. Es können auch Links zu Webseiten Dritter auf der Facebook-Pinnwand eines Freundes gepostet werden, die Kommentare wie „LOL“ oder „Youtube“ und einen Link enthalten. Wenn der Link geöffnet wird, infiziert der Trojaner den Rechner und der PC wird zum Zombie oder zu einem Host-Computer.
Unter den Komponenten, die von Koobface heruntergeladen werden, befindet sich auch ein DNS-Filterprogramm, das den Zugang zu sehr bekannten Webseiten von Sicherheitsdienstleistern sperrt. Des Weiteren installiert es ein Proxy-Programm, das den Angreifer befähigt, den infizierten PC zu missbrauchen.

## Ermittlungen

Die New York Times berichtete im Januar 2012, dass Facebook plant, Informationen über die Koobface-Gang herauszugeben, sowie die Namen derer die sich in den Augen von Facebook dafür verantwortlich zeigen. Nachforschungen des deutschen IT-Managers Jan Droemer und der University of Alabama at Birmingham’s Center for Information Assurance and Joint Forensics Research waren eine große Hilfe, die Personen hinter dem Koobface-Wurm aufzudecken. In der Facebook-Veröffentlichung vom 17. Januar werden folgende fünf Verdächtige genannt: Stanislav Avdeyko (leDed), Alexander Koltyshev (Floppy), Anton Korotchenko (KrotReal), Roman P. Koturbach (PoMuc), Svyatoslav E. Polichuck (PsViat und PsycoMan). Die Gruppe sitzt im russischen Sankt Petersburg und wird manchmal Ali Baba & 4 genannt, mit Stanislav Avdeyko als Anführer. Die Ermittlung konnte Avdeyko ebenfalls mit der CoolWebSearch-Spyware in Verbindung bringen.