Een nieuwe variant van de Koobface worm controleert of besmette gebruikers een Google of Blogspot account hebben, om daarmee vervolgens besmette Google Reader pagina's aan te maken. In het geval een gebruiker nog geen Google account heeft, dan maakt de worm die aan. Hiervoor kijkt de malware naar verschillende browser cookies. Koobface, voorheen vooral actief op Facebook maar tegenwoordig ook op andere sociale netwerksites als Twitter en MySpace, is tevens van een verbeterde CAPTCHA-kraker voorzien. Het doel is het maken van kwaadaardige Google Reader pagina's, die vervolgens in privéberichten en krabbels op verschillende sociale netwerksites belanden.

Zodra het de pagina heeft gemaakt, logt Koobface de gebruiker uit het account. De pagina's laten wat lijkt een YouTube video zien, maar wijzen in werkelijkheid naar een zogenaamde Adobe Flash Player installatie. Dit bestand installeert uiteindelijk de worm. "Als je deze Google Reader pagina's in je sociale netwerk ziet verschijnen, wees dan alert. En als je iemand in je eigen netwerk deze links ziet plaatsen, laat ze dan weten dat ze mogelijk besmet zijn", zegt Andrew Brandt van Webroot.