Digital
Schweiz

Im Darknet floriert der Handel mit gefährlichen Sicherheitslücken für Handys und PCs. 7 krasse Zahlen und Fakten

Im Darknet floriert der Handel mit gefährlichen Sicherheitslücken für Handys und PCs. 7 krasse Zahlen und Fakten

Software-Schwachstellen, die sich für Computer-Einbrüche eignen, sind begehrt bei Kriminellen und Geheimdiensten. Der Schweizer IT-Sicherheitsexperte Marc Ruef gibt Einblick ins millionenschwere Exploits-Business.
27.01.2016, 14:0828.01.2016, 17:22
Mehr «Digital»

Im Darknet wird nicht nur mit Kinderpornos und Drogen gedealt. Sehr begehrt sind auch Informationen zu Sicherheitslücken, die sich für Einbrüche in Computersysteme verwenden lassen. Sogenannte Exploits.

Am begehrtesten (und teuersten) sind Zero Day Exploits («0-Days»). Das sind Schwachstellen in Betriebssystemen und anderer Software, die besonders wertvoll sind, weil sie niemand kennt und es darum noch keinen Schutz gibt.

Mit solchen Schwachstellen lässt sich viel Schaden anrichten:

  • Der Angreifer kann unbemerkt Spionage-Software auf einem iPhone installieren – das passiert voll automatisch, wenn das ahnungslose Opfer eine manipulierte Webseite aufruft.
  • Wie der US-Whistleblower Edward Snowden enthüllt hat, geht es dem US-Geheimdienst NSA um die totale Überwachung der Internetnutzer. Das technische Rüstzeug, um Router, Server und andere Computer zu hacken, sind unzählige Exploits.
Schmutzige Tricks
Verborgen auf einem unbekannten Server, nur erreichbar über die Anonymisierungs-Software Tor, liegt The Real Deal. Über den Schwarzmarkt wurden vor allem Angriffswerkzeuge für kriminelle Hacker verkauft, wie die «Zeit» 2015 berichtete.
Die Website mit der «.onion»-Adresse galt als gute Anlaufstelle für Verkäufer und Käufer von Exploits. Doch nach wenigen Monaten Präsenz verschwand die Site spurlos, um einige Monate später wieder aufzutauchen. Über die Gründe könne nur spekuliert werden, sagt der Darknet-Kenner Marc Ruef. «Fachpresse und Vertreter der Industrie werfen den Machern vor, einen sogenannten ‹Exit Scam› vollzogen und mit dem Geld noch nicht vollzogener Transaktionen geflohen zu sein.»

Laut Marc Ruef floriert der Exploits-Handel im Darknet. Der ehemalige Hacker und IT-Sicherheitsexperte spricht von einem explosionsartigen Wachstum, was die Zahl der verfügbaren Exploits wie auch die verlangten Preise betreffe. Das theoretische Marktvolumen sei 2015 auf schätzungsweise 155 Millionen Dollar gewachsen.

Von der Idee bis zum ausführbaren Tool ist es ein weiter Weg. Dafür winken je nach Angriffsziel grosse Summen.
Von der Idee bis zum ausführbaren Tool ist es ein weiter Weg. Dafür winken je nach Angriffsziel grosse Summen.
grafik: scip ag

Zu den zahlungskräftigsten Abnehmern der digitalen «Waffen» gehören die Geheimdienste. Allen voran die US-Amerikaner sowie despotische Staaten im Nahen und Fernen Osten.

Aber auch die Europäer beteiligen sich rege am Exploits-Business. Letzten November machte das Nachrichtenmagazin «Spiegel» publik, dass der deutsche Bundesnachrichtendienst (BND) bis 2020 für 4,5 Millionen Euro Zero Day Exploits kaufen wolle.

Diktatoren und Saubermänner

Rund um die Exploits hat sich ein starker Industrie-Zweig entwickelt. Private Sicherheitsfirmen entwickeln Software-Tools, die sie für viel Geld an Abnehmer rund um den Globus verkaufen können.

Der renommierte US-Autor James Bamford hat gerade unter dem Titel The Espionage Economy im «Foreign Policy»-Blog einen lesenswerten Beitrag über den kommerziellen Markt für Spionage-Software publiziert. Darin geht es um schmutzige Geschäfte mit Diktatoren und Saubermännern.

Solche Werkzeuge ermöglichten es Regierungen erst, die eigenen Bürger und diejenigen anderer Staaten zu überwachen. Bamford komme daher zum naheliegenden Schluss, dass der Markt strikter kontrolliert und reguliert werden sollte, fasst netzpolitik.org zusammen.

So laufen die Deals ab

Wie Marc Ruef in einem Beitrag zu seinen Darknet-Recherchen schildert, laufen Exploit-Deals in der Regel gestaffelt ab:

  • Der Kaufinteressent erhalte zunächst einen grösstenteils funktionierenden Auszug des Exploits. Dadurch könne dessen Legitimität und Qualität geprüft werden.
  • Bei Gefallen sei dem Verkäufer eine Anzahlung zu überweisen, die bevorzugt in Bitcoins geleistet werde. «Falls beispielsweise ein Exploit den Gesamtpreis von 50'000 US-Dollars hat, wird die Anzahlung 20'000 betragen.»
  • Danach erfolgten jeweils im Abstand von meist 30 Tagen weitere Teilzahlungen von je 10'000 Dollar.
  • Durch die gestaffelte Bezahlung könne sich der Käufer gegen zwei unliebsame Effekte wappnen: Falls der Exploit anderswo auftauche und damit die ausgehandelte Exklusivität verliere, werde die Zahlung eingestellt. Und falls der Hersteller die Sicherheitslücke frühzeitig schliesse, könne die Zahlung ausgesetzt werden.
  • Professionelle Exploit-Anbieter reichten in solchen Fällen als Kompensation einen funktionierenden Exploit nach.

Ruef hat mit Kollegen vom IT-Beratungsunternehmen Scip AG ein Modell entwickelt, um die Preisentwicklung von Exploits zu berechnen. Dazu werden verschiedenste Faktoren berücksichtigt.

«Wir gehen von einem 0-day Exploit aus, dessen Schwachstelle und Existenz nicht bekannt ist. Er wird exklusiv und einmalig verkauft, bis die Schwachstelle publik oder ein alternativer Exploit herausgegeben wird. Sobald diese Exklusivität verloren geht, wird ein tagesaktueller Preis erzeugt. Dieser ist von Ereignissen (Bekanntwerden der Schwachstelle, alternativer Exploit verfügbar, Gegenmassnahme veröffentlicht) und der zeitlichen Entwicklung abhängig.»
Marc Ruef über das Modell zur Exploits-Preisentwicklung.
quelle: scip ag

Das Modell sei in den letzten Jahren weiter verfeinert worden und erlaube es mittlerweile, die Preise relativ genau vorauszusagen. Für watson hat Ruef spannende Entwicklungen zu den Smartphones und PC-Systemen in den folgenden Grafiken zusammengefasst.

So viel sind die gefährlichsten Schwachstellen (Zero Day Exploits) wert

RCE-Exploits erlauben das (heimliche) Ausführen von bösartigen Programmen auf fremden Computersystemen.
RCE-Exploits erlauben das (heimliche) Ausführen von bösartigen Programmen auf fremden Computersystemen.
bild: scip ag

«Acrobat»-Exploits sind am günstigsten, iPhone-Exploits gehen richtig ins Geld

Zero-Day Exploits: Die Preisspanne ist riesig. Mit Abstand am teuersten/wertvollsten sind iPhone-Lücken.
Zero-Day Exploits: Die Preisspanne ist riesig. Mit Abstand am teuersten/wertvollsten sind iPhone-Lücken.
grafik: scip ag

Laut Ruef sind Exploits am wertvollsten, wenn sie dem Angreifer erlauben, unbemerkt fremden Code über eine Netzwerkverbindung auszuführen, wenn also kein physischer Zugang nötig ist.

«Wir gehen davon aus, dass hier Android massiv aufholen wird in den kommenden fünf Jahren.»
Marc Ruef, IT-Sicherheitsexperte

2016 dürften erstmals 1,5 Millionen Dollar für einen iPhone-Exploit bezahlt werden

iPhone-Exploits: Die Kurve zur Preisentwicklung steigt an, dieses Jahr dürften erstmals 1,5 Millionen Dollar für einen Exploit bezahlt werden, der Angreifern Zugriff auf fremde Geräte ermöglicht.
iPhone-Exploits: Die Kurve zur Preisentwicklung steigt an, dieses Jahr dürften erstmals 1,5 Millionen Dollar für einen Exploit bezahlt werden, der Angreifern Zugriff auf fremde Geräte ermöglicht.
grafik: scip ag

Auf dem Graumarkt gibt's nur wenige hochklassige Exploits, hingegen sehr viel «Schrott»

Im Top-Segment gibt es nur wenige Exploits, die den Entwicklern über 100'000 Dollar einbringen.
Im Top-Segment gibt es nur wenige Exploits, die den Entwicklern über 100'000 Dollar einbringen.
infografik: scip ag

Android ist stärker verbreitet, doch iPhone-Exploits sind viel wertvoller

iOS (iPhone) dominiert seit nunmehr drei Jahren das oberste Preissegment, die Preise sind massiv gestiegen. Für das weitverbreitete Google-System Android sind sie hingegen nur langsam angestiegen. «Wi ...
iOS (iPhone) dominiert seit nunmehr drei Jahren das oberste Preissegment, die Preise sind massiv gestiegen. Für das weitverbreitete Google-System Android sind sie hingegen nur langsam angestiegen. «Wir gehen davon aus, dass hier Android massiv aufholen wird in den kommenden fünf Jahren», sagt Ruef.
grafik: scip ag

Der Markt für Windows-Exploits hat sich seit Windows XP massiv verändert

Die Preise für die verschiedenen Windows-Versionen sind ab 2013 massiv gestiegen, bewegen sich aber – im Vergleich mit iPhone-Exploits – auf relativ tiefem Niveau.
Die Preise für die verschiedenen Windows-Versionen sind ab 2013 massiv gestiegen, bewegen sich aber – im Vergleich mit iPhone-Exploits – auf relativ tiefem Niveau.
grafik: scip ag

«Extrem schlechte Idee»

Abschliessend gilt festzuhalten, dass Software-Schwachstellen im Prinzip alle Nutzer von Smartphones und Computern bedrohen. Den Markt für Exploits zu unterstützen, sei aus staatlicher Sicht eine extrem schlechte Idee, meint Michael Waidner, Leiter des Fraunhofer-Instituts für Sichere Informationstechnologie. Jede Lücke sei für die Bürger, Behörden und Unternehmen ein grosses Risiko, da niemand wisse, wer alles das Know-how um die Schwachstellen kaufe.

So richtig ins öffentliche Bewusstsein gelangte das fragwürdige Millionen-Geschäft letztes Jahr durch den erfolgreichen Hackerangriff auf die italienische Sicherheitsfirma The Hacking Team

So überwacht uns der Staat (11.4.2016)

Alle Storys anzeigen

Die 25 spannendsten Gadgets, die du 2016 kaufen kannst

1 / 27
Die 25 spannendsten Gadgets, die du 2016 kaufen kannst
Das «Thermo» genannte Gadget von Withings misst die Körpertemperatur, indem es die Temporalarterie an der Schläfe abtastet. Es dauert nur zwei Sekunden, bis die Messwerte sowohl auf dem Gerät angezeigt als auch an eine Smartphone-App übertragen werden. Knapp 100 Franken kostet das vernetzte Thermometer.
Auf Facebook teilenAuf X teilen
Du hast watson gern?
Sag das doch deinen Freunden!
Mit Whatsapp empfehlen

So überwacht uns der Staat (11.4.2016)

Alle Storys anzeigen
DANKE FÜR DIE ♥
Würdest du gerne watson und unseren Journalismus unterstützen? Mehr erfahren
(Du wirst umgeleitet, um die Zahlung abzuschliessen.)
5 CHF
15 CHF
25 CHF
Anderer
twint icon
Oder unterstütze uns per Banküberweisung.
Das könnte dich auch noch interessieren:
12 Kommentare
Weil wir die Kommentar-Debatten weiterhin persönlich moderieren möchten, sehen wir uns gezwungen, die Kommentarfunktion 24 Stunden nach Publikation einer Story zu schliessen. Vielen Dank für dein Verständnis!
Die beliebtesten Kommentare
avatar
Gantii
27.01.2016 14:23registriert Februar 2015
es sollte illegal sein, steuergelder für jegliche exploits (nicht nur 0-day) auszugeben.
302
Melden
Zum Kommentar
avatar
Pjotr
27.01.2016 14:49registriert Mai 2015
Auch hier: Apple mal wieder völlig überteuert.
314
Melden
Zum Kommentar
avatar
malu 64
27.01.2016 15:58registriert September 2014
Das Darknet ist nicht nur eine
Handelsplattform. Hier können sich Leute ungestört austauschen
ohne dass jemand mithört!
Hier herrscht absolute Meinungsfreiheit.
272
Melden
Zum Kommentar
12
Gemeinde Glarus Nord nach gefälschtem Mailverkehr um fast 50'000 Franken betrogen

Die Gemeindeverwaltung Glarus Nord ist von einer kriminellen Organisation um 48'000 Franken betrogen worden. Eine eingeleitete Strafuntersuchung soll nun helfen, das Delikt aufzuklären. Ausserdem untersucht die Geschäftsprüfungskommission den Vorfall.

Zur Story