Sicherheitsforscher: Für Zero-Day-Lücken bekommt man oft 100.000 Dollar

Sicherheitsforscher von Symantec berichten über einen Untergrundmarkt, auf dem Zero-Day-Lücken häufig für Beträge zwischen 50.000 und 100.000 Dollar veräußert werden. Trotz der von Softwareanbietern wie Microsoft und Google ausgelobten Prämien finden sich für solche noch unbekannten Sicherheitslücken kriminelle Interessenten, denen sie um einiges mehr wert sind.

Candid Wüest, als Virenexperte und Bedrohungsforscher bei Symantec tätig, geht von einem „kleinen, aber beständigen Markt“ aus. Die steigenden Preise für Zero-Day-Lücken erklärt er mit dem Umstand, dass sie zunehmend schwerer zu finden sind.

„Für Code-Ausführung mittels eines Browsers … braucht es oft mehrere Schwachstellen gleichzeitig“, sagte er gegenüber TechWeekEurope. „Das macht es schwieriger, eine Zero-Day-Lücke zu finden, und daher steigen die Preise.“

Als Zero-Day-Lücken werden sicherheitsrelevante Fehler bezeichnet, die von Forschern oder Hackern entdeckt wurden, und für die es vom Hersteller noch keinen Patch gibt. Sie können unter Umständen benutzt werden, um sich Zugang zu Systemen zu verschaffen und Informationen zu stehlen. Als zahlungskräftige Aufkäufer auf dem Schwarzmarkt beteiligten sich auch Rüstungsfirmen, Geheimdienste und Ermittlungsbehörden. Das französische Sicherheitsunternehmen Vupen hat beispielsweise dem US-Auslandsgeheimdienst NSA Informationen über Zero-Day-Lücken sowie die Software verkauft, um sie zu benutzen.

Die Softwarehersteller können nur mit immer höher dotierten Prämienprogrammen gegenhalten. Microsoft erhöhte erst kürzlich den Höchstbetrag für gemeldete Schwachstellen. Es sicherte auch Zahlungen für Informanten zu, die lediglich auf Zero-Day-Lücken aufmerksam machen, ohne angeben zu müssen, wie ein Exploit funktioniert.

Rekord-Preisgelder machen Hackerwettbewerbe attraktiver denn je. Das von Hewlett-Packard gesponserte Pwn2Own lockte Sicherheitsforscher in diesem Jahr mit Preisen von insgesamt rund 1 Million Dollar. Das lockte immerhin auch Vupen Security an, das zuvor schon gut im Geschäft mit der NSA und anderen Interessenten war. An das Team Vupen ging mit 400.000 Dollar die bisher höchste Summe, die ein einzelnes Team im Wettbewerb einfahren konnte.

[mit Material von Thomas Brewster, TechWeekEurope.co.uk]