Regierungen erwerben Zero-Day-Lücken auf dem Schwarzmarkt

Bis zu sechsstellige Beträge zahlen die USA und westeuropäische Regierungen für noch unentdeckte Software-Lecks. Hohe Preis erzielen derzeit vor allem Exploits für Mobilbetriebssysteme. Die Menge der von Securityforschern offengelegten Bugs geht jedoch zurück.

von Bernd Kling 0

Vor allem die offensiven Cyberkrieg-Strategien der US-Regierung haben offenbar einen Schwarzmarkt entstehen lassen, auf dem Zero-Day-Lücken gehandelt werden. Nach einem Bericht der MIT Technology Review betätigen sich Rüstungsfirmen, Geheimdienste und Ermittlungsbehörden als zahlungskräftige Aufkäufer von bislang unentdeckten Schwachstellen, die durch Malware auszunutzen sind. Dieser “Malware-Industrial Complex” bewirke zugleich eine Gefährdung aller Online-Nutzer.

vupen_ie_zeroday-440px

Vupen warb mit diesem Bild für die Aufdeckung von Zero Day-Lecks. Das ist wohl Vergangenheit: Der Security-Spezialist macht die Lücken inzwischen zu Geld statt sie zu veröffentlichen.

Aus der Hackerszene ist von einer dramatisch reduzierten Zahl offengelegter Bugs zu hören. Christopher Soghoian, Technologieexperte der Bürgerrechtsorganisation ACLU, führt es auf den Aufkauf der Sicherheitslücken durch Regierung und Industrie zurück. Er erfolge inzwischen im ganz großen Stil, nachdem allein mit der Malware Stuxnet vier Zero-Day-Lücken erfolgreich ausgenutzt wurden.

Der Stuxnet-Wurm, der unter anderem das iranische Atomkraftwerk Natanz lahmlegte, wurde nach einem Bericht der New York Times von der US-Regierung für solche Cyberangriffe in Auftrag gegeben. Er gelangte aber unbeabsichtigt auch in die freie Wildbahn. In der Folge konnten Cyberkriminelle die Malware analysieren und die Methoden für ihre Zwecke einsetzen.

“Auf der einen Seite verbreitet die Regierung große Hektik von wegen Cybersicherheit, aber andererseits nehmen die USA an einem weltweiten Markt der Schwachstellen teil und treiben die Preise hoch”, berichtet Soghoian. Er habe in Gesprächen von üblichen Preisen zwischen Tausenden und Hunderttausenden Dollar erfahren.

Besonders wertvoll sind demnach Exploits für Mobilbetriebssysteme, da diese weniger häufig aktualisiert werden. Da Apple iPhones nur ein paarmal jährlich mit Updates versorge, könne eine Sicherheitslücke entsprechend lange genutzt werden. Der Entdecker einer Zero-Day-Lücke könne sogar mit monatlichen Zahlungen rechnen, solange sie nicht enthüllt sei. “Solange Apple oder Microsoft es nicht behoben haben, wird man bezahlt”, berichtet der ACLU-Experte.

Der lukrative Verkauf von Schwachstellen an Regierungsbehörden erfolgt teilweise über Mittelsmänner wie einen Sicherheitsforscher in Bangkok, der sich “the Grugq” nennt. Er vermittelt laut Forbes Deals mit Regierungsstellen in den USA und Westeuropa, die eine Viertelmillion Dollar einbringen können, und behält dabei eine Vermittlungsgebühr von 15 Prozent ein.

Die französische Sicherheitsfirma Vupen ist ebenfalls im Geschäft mit Zero-Day-Lücken und rühmt sich, über Exploits für alle wichtigen Browser zu verfügen. Vupen ist schon lange nicht mehr an Prämien von 60.000 Dollar interessiert, wie sie Google für enthüllte Sicherheitslücken seines Browsers Chrome auslobt. Nicht einmal für eine Million Dollar will Vupen-CEO Chaouki Bekrar Google in Kenntnis setzen: “Wir wollen ihnen keine Informationen geben, die ihnen die Behebung dieses Exploits oder ähnlicher Exploits erlaubt. Wir wollen das für unsere Kunden behalten.”

[mit Material von Nick Farrell, TechEye.net]

ITespresso für mobile Geräte
Android-App Google Currents App for iOS

avast! Antivirus

Mehr als 200 Millionen Nutzer vertrauen avast! beim Schutz Ihrer Geräte - mehr als jedem anderen Antiviren-Programm. Und jetzt ist avast! noch besser. Jetzt herunterladen!

Letzter Kommentar




0 Antworten zu Regierungen erwerben Zero-Day-Lücken auf dem Schwarzmarkt

Hinterlasse eine Antwort

  • Erforderliche Felder sind markiert *,
    Deine E-Mail-Adresse wird nicht veröffentlicht.

Du kannst folgende HTML-Tags benutzen: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>