Exploit für Zoom wird für 500.000 Dollar im Dark Web angeboten

Hacker bieten offenbar derzeit einen Exploit für eine Zero-Day-Lücke in der Windows-Version des Zoom Clients an. Wie Motherboard berichtet, liegt der Preis bei 500.000 Dollar. Eine zweite ungepatchte Schwachstelle, für die ebenfalls Schadcode vorliegt, betrifft demnach den Zoom-Client für macOS.

„Wie ich gehört habe, sind zwei Zero-Day-Exploits für Zoom im Umlauf“, wird Adriel Desautels, Gründer des Exploit-Händlers Netragard, in dem Bericht zitiert. „Ich glaube nicht, dass sie eine besonders lange Haltbarkeit haben werden, denn sobald eine Zero-Day-Lücke verwendet wird, wird sie entdeckt.“

Die Existenz der beiden Anfälligkeiten wurde von zwei weiteren, nicht näher genannten Quellen bestätigt, die sich ebenfalls mit dem Ankauf von Sicherheitslücken und Exploits beschäftigen. Ihnen zufolge erlaubt die Windows-Schwachstelle das Einschleusen und Ausführen von Schadcode aus der Ferne. In Verbindungen mit weiteren Sicherheitslücken soll es sogar möglich sein, die vollständige Kontrolle über ein Gerät zu übernehmen.

Ein Informant stufte den aufgerufenen Preis von 500.000 Dollar zudem als gerechtfertigt ein. Die Anfälligkeit sei perfekt geeignet für Industriespionage. Allerdings muss der Angreifer wohl am selben Zoom-Meeting teilnehmen wie sein Opfer, weswegen eine andere Quelle den Preis als überhöht bezeichnete.

Für die Zero-Day-Lücke im macOS-Client wurde kein Preis genannt. Sie soll jedoch nicht für eine Remotecodeausführung geeignet sein.

„Zoom nimmt die Sicherheit seiner Nutzer extrem ernst. Seit wir von diesen Gerüchten erfahren haben, arbeiten wir rund um die Uhr mit einer angesehenen, branchenführenden Sicherheitsfirma zusammen, um sie zu untersuchen“, erklärte ein Zoom-Sprecher gegenüber Motherboard. „Bis heute haben wir keine Beweise gefunden, die diese Behauptungen untermauern.“

Die COVID-19-Pandemie hat Zoom nicht nur massenhaft neue Nutzer beschert, sondern den Videokonferenz-Dienst auch ins Blickfeld von Sicherheitsexperten und Cyberkriminellen gerückt. Unter anderem wurde die Weitergabe von Nutzerdaten an Facebook kritisiert, was das Unternehmen bereits eingestellt hat. Zoom räumte aber auch Defizite bei der hauseigenen Verschlüsselungstechnik ein und beseitigte mehrere Schwachstellen. Zuletzt kündigte Zoom an, die Entwicklung neuer Funktionen auf Eis zu legen und sich vorübergehend auf die Beseitigung von Fehlern zu konzentrieren. Unterstützung erhält das Unternehmen inzwischen vom Sicherheitsexperten Alex Stamos. Der ehemalige Chief Security Officer von Facebook steht Zoom als Berater zur Seite.