Bericht: Regierungen kaufen Zero-Day-Lücken auf dem Schwarzmarkt

Vor allem die offensive Cyberkrieg-Strategie der US-Regierung hat einen Schwarzmarkt entstehen lassen, auf dem Zero-Day-Lücken gehandelt werden. Nach einem Bericht der MIT Technology Review betätigen sich Rüstungsfirmen, Geheimdienste und Ermittlungsbehörden als zahlungskräftige Aufkäufer von bislang unentdeckten Schwachstellen, die durch Malware auszunutzen sind. Dieser „Malware-Industrial Complex“ bewirke zugleich eine Gefährdung aller Online-Nutzer, schreibt das MIT.

Aus der Hackerszene ist von einer dramatisch reduzierten Zahl offengelegter Bugs zu hören. Christopher Soghoian, Technologieexperte der Bürgerrechtsorganisation ACLU, führt es auf den Aufkauf der Sicherheitslücken durch Regierung und Industrie zurück. Er erfolge inzwischen im ganz großen Stil, nachdem allein in der Malware Stuxnet vier Zero-Day-Lücken erfolgreich ausgenutzt wurden.

Der Stuxnet-Wurm, der unter anderem das iranische Atomkraftwerk Natanz lahmlegte, wurde nach einem Bericht der New York Times von der US-Regierung für solche Cyberangriffe in Auftrag gegeben. Er gelangte aber auch unbeabsichtigt in die freie Wildbahn. In der Folge konnten Cyberkriminelle die Malware analysieren und die Methoden für ihre Zwecke einsetzen.

„Auf der einen Seite verbreitet die Regierung große Hektik von wegen Cybersicherheit, aber andererseits nehmen die USA an einem weltweiten Markt der Schwachstellen teil und treiben die Preise hoch“, berichtet Soghoian. Er habe in Gesprächen von üblichen Preisen zwischen Tausenden und Hunderttausenden Dollar erfahren.

Besonders wertvoll sind demnach Exploits für Mobilbetriebssysteme, da diese weniger häufig aktualisiert werden. Da Apple iPhones nur ein paarmal jährlich mit Updates versorge, könne eine Sicherheitslücke entsprechend lange genutzt werden. Der Entdecker einer Zero-Day-Lücke könne sogar mit monatlichen Zahlungen rechnen, solange sie nicht enthüllt sei. „Solange Apple oder Microsoft es nicht behoben haben, wird man bezahlt“, erzählt der ACLU-Experte.

Der lukrative Verkauf von Schwachstellen an Regierungsbehörden erfolgt teilweise über Mittelsmänner wie einen Sicherheitsforscher in Bangkok, der sich „the Grugq“ nennt. Er vermittelt laut Forbes Deals mit Regierungsstellen in den USA und Westeuropa, die eine Viertelmillion Dollar einbringen können, und behält dabei eine Vermittlungsgebühr von 15 Prozent ein.

Die französische Sicherheitsfirma Vupen ist ebenfalls im Geschäft mit Zero-Day-Lücken und rühmt sich, über Exploits für alle wichtigen Browser zu verfügen. Vupen ist schon lange nicht mehr an Prämien von 60.000 Dollar interessiert, wie sie Google für enthüllte Sicherheitslücken seines Browsers Chrome auslobt. Nicht einmal für eine Million Dollar will Vupen-CEO Chaouki Bekrar Google in Kenntnis setzen: „Wir wollen ihnen keine Informationen geben, die ihnen die Behebung dieses Exploits oder ähnlicher Exploits erlaubt. Wir wollen das für unsere Kunden behalten.“

[mit Material von Nick Farrell, TechEye.net]