Zero-Days: Exklusive iOS-Lücken um eine Million US-Dollar

28. Juli 2015, 12:19
14 Postings

Hacking-Team-Daten bieten Einblick in den äußerst einträglichen Handel mit Sicherheitslücken

Es ist ein Sparte der Computerwelt, die üblicherweise das Licht der Öffentlichkeit scheut: Am Schwarzmarkt floriert der Handel mit sogenannten Zero-Day-Lücken, also Fehlern in populärerer Software, für die der Hersteller bisher noch kein Update geliefert hat – und die ihm meist gar nicht bewusst sind. Abnehmer sind dabei gleichermaßen Geheimdienste wie auch Kriminelle.

Analyse

Wie einträglich dieses Geschäft tatsächlich ist, zeigt sich nun mithilfe der im Gefolge des Hacking-Team-Einbruchs veröffentlichten Daten. Der Sicherheitsexperte Vlad Tsyrklevich hat diese durchforstet. Dabei haben sich einige interessante Details aufgetan.

Exklusiv

So machen die aktuell gebotenen Preise klar, warum die Versuchung so groß ist, eine Lücke gewinnbringend zu verkaufen, anstatt sie dem Hersteller zu melden. Die besten Preise gibt es offenbar für jene Exploits, denen es gelingt, Apples mobiles Betriebssystem zu knacken. Ein exklusiver Exploit, mit dem sich ein iPhone oder iPad übernehmen lässt, könne schon mal für ein bis zwei Millionen US-Dollar gehandelt werden, heißt es etwa in einer E-Mail eines Hacking-Team-Lieferanten.

Verhandlungsgeschick

Auch wenn dies eine Ausnahme darstellt, sind auch sonst die Preise recht hoch: So hat Hacking Team seit Ende 2013 offenbar in Summe mehrere hunderttausend US-Dollar für den Zukauf von Zero-Day-Exploits ausgegeben. Wie viel schlussendlich gezahlt wurde, hing auch nicht zuletzt vom Verhandlungsgeschick der einzelnen Beteiligen ab. So wurde etwa eine Windows-Lücke ursprünglich um 150.000 US-Dollar angeboten, Hacking Team konnte den Preis aber schlussendlich auf 95.000 US-Dollar drücken – nur um dann doch das Interesse zu verlieren.

Firefox

Gescheiterte Verhandlungen finden sich in den Dokumenten überhaupt öfter, wohl weil die Zero-Day-Händler oft parallel mit mehreren Abnehmern verhandeln. So hatte etwa die Firma Vulnerabilities Brokerage International eine Firefox-Lücke für 150.000 US-Dollar angeboten, um sie nach Preisverhandlungen schlussendlich jemandem anderen zu geben. Dass eine Firefox-Lücke so hohe Preise erzielt, liegt übrigens daran, dass sie die Basis für den Tor-Browser bildet. Hier sucht man also einen Weg, über Tor anonymisierte Nutzer identifizieren zu können.

Flash

Ein besonders beliebtes Ziel ist – wenig überraschend – Flash, da das Plug-in in beinahe allen Browsern über unterschiedliche Betriebssysteme hinweg zu finden ist. So fand sich in der Preisliste des Lieferanten Netragard denn auch eine mit 215.000 US-Dollar veranschlagte Lücke in der Adobe-Software, die bei allen aktuellen Windows-Versionen einen Ausbrauch aus der Sandbox erlaubte. Zu dem hohen Preis trug in dem Fall bei, dass der Fehler über automatisierte Sicherheitsprüfungen de facto nicht aufzuspüren war.

Business as usual

In anderen Fällen ist Hacking Team jährliche Verträge mit Lieferanten eingegangen, die im Rahmen dessen versprachen, eine gewisse Zahl von Lücken zu liefern – und bei guter Leistung einen Bonus erhielten. Interessant sind auch die Details der Transaktion, vor allem wie "normal" diese sind. So gibt es sowohl die Möglichkeit der Ratenzahlung als auch Garantieleistungen. Und Exklusivität hat natürlich einen besonders hohen Preis.

Konkurrenz

Einmal mehr demonstrieren die Mails aber auch, wie groß die Animositäten in der Branche sind. So äußert sich Hacking Team an mehreren Stellen mit der Qualität der vom Malware-Hersteller Vupen gelieferten Exploits unzufrieden – und vermutet, dass die Firma gemeinsame Sache mit Konkurrent Gamma macht. (apo, 28.7.2015)

Share if you care.