Bericht: Regierungen kaufen Zero-Day-Lücken auf dem Schwarzmarkt

Die USA und westeuropäische Regierungen geben bis zu sechsstellige Summen für bislang unentdeckte Schwachstellen aus. Besonders hohe Preise erzielen Exploits für Mobilbetriebssysteme. Gleichzeitig geht die Zahl der von Sicherheitsforschern offengelegten Bugs zurück.

Vor allem die offensive Cyberkrieg-Strategie der US-Regierung hat einen Schwarzmarkt entstehen lassen, auf dem Zero-Day-Lücken gehandelt werden. Nach einem Bericht der MIT Technology Review betätigen sich Rüstungsfirmen, Geheimdienste und Ermittlungsbehörden als zahlungskräftige Aufkäufer von bislang unentdeckten Schwachstellen, die durch Malware auszunutzen sind. Dieser „Malware-Industrial Complex“ bewirke zugleich eine Gefährdung aller Online-Nutzer, schreibt das MIT.

cyberterroristen-v6

Aus der Hackerszene ist von einer dramatisch reduzierten Zahl offengelegter Bugs zu hören. Christopher Soghoian, Technologieexperte der Bürgerrechtsorganisation ACLU, führt es auf den Aufkauf der Sicherheitslücken durch Regierung und Industrie zurück. Er erfolge inzwischen im ganz großen Stil, nachdem allein in der Malware Stuxnet vier Zero-Day-Lücken erfolgreich ausgenutzt wurden.

Der Stuxnet-Wurm, der unter anderem das iranische Atomkraftwerk Natanz lahmlegte, wurde nach einem Bericht der New York Times von der US-Regierung für solche Cyberangriffe in Auftrag gegeben. Er gelangte aber auch unbeabsichtigt in die freie Wildbahn. In der Folge konnten Cyberkriminelle die Malware analysieren und die Methoden für ihre Zwecke einsetzen.

„Auf der einen Seite verbreitet die Regierung große Hektik von wegen Cybersicherheit, aber andererseits nehmen die USA an einem weltweiten Markt der Schwachstellen teil und treiben die Preise hoch“, berichtet Soghoian. Er habe in Gesprächen von üblichen Preisen zwischen Tausenden und Hunderttausenden Dollar erfahren.

Besonders wertvoll sind demnach Exploits für Mobilbetriebssysteme, da diese weniger häufig aktualisiert werden. Da Apple iPhones nur ein paarmal jährlich mit Updates versorge, könne eine Sicherheitslücke entsprechend lange genutzt werden. Der Entdecker einer Zero-Day-Lücke könne sogar mit monatlichen Zahlungen rechnen, solange sie nicht enthüllt sei. „Solange Apple oder Microsoft es nicht behoben haben, wird man bezahlt“, erzählt der ACLU-Experte.

Der lukrative Verkauf von Schwachstellen an Regierungsbehörden erfolgt teilweise über Mittelsmänner wie einen Sicherheitsforscher in Bangkok, der sich „the Grugq“ nennt. Er vermittelt laut Forbes Deals mit Regierungsstellen in den USA und Westeuropa, die eine Viertelmillion Dollar einbringen können, und behält dabei eine Vermittlungsgebühr von 15 Prozent ein.

Die französische Sicherheitsfirma Vupen ist ebenfalls im Geschäft mit Zero-Day-Lücken und rühmt sich, über Exploits für alle wichtigen Browser zu verfügen. Vupen ist schon lange nicht mehr an Prämien von 60.000 Dollar interessiert, wie sie Google für enthüllte Sicherheitslücken seines Browsers Chrome auslobt. Nicht einmal für eine Million Dollar will Vupen-CEO Chaouki Bekrar Google in Kenntnis setzen: „Wir wollen ihnen keine Informationen geben, die ihnen die Behebung dieses Exploits oder ähnlicher Exploits erlaubt. Wir wollen das für unsere Kunden behalten.“

[mit Material von Nick Farrell, TechEye.net]

Themenseiten: Hacker, Politik, Vupen

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

4 Kommentare zu Bericht: Regierungen kaufen Zero-Day-Lücken auf dem Schwarzmarkt

Kommentar hinzufügen
  • Am 16. Februar 2013 um 21:03 von Silvio Siefke

    Die Welt der Technik ist unser Gefängnis und der Untergang.

  • Am 16. Februar 2013 um 22:31 von Django Unchained

    Cool, hoch leben unsere Freunde die frielichen USA !!!

  • Am 17. Februar 2013 um 11:16 von Chained

    Wohl nicht aufmerksam gelesen, weil nicht nur von den USA die Rede ist.

  • Am 17. Februar 2013 um 14:45 von Ozelot

    Nun ja: „Die französische Sicherheitsfirma Vupen ist ebenfalls im Geschäft …“ und damit kriminell, wenn sie das an den meistbietenden verkauft. Exploits und andere Sicherheitslücken werden zu solchen Preisen sicher nicht für legale Dinge eingesetzt. Zeit für den Gesetzgeber, dass er gegen solche ‚Sicherheitsunternehmen‘ vorgeht.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *