Forscher warnen vor ‘Exploits as a Service’-Industrie

Vor allem Attacken auf Webbrowser werden in diesem Jahr weiter zunehmen, was damit zusammenhängen könnte, dass sich eine regelrechte ‘Exploits as a Service’-Industrie entwickelt habe, heißt es in dem Bericht des IBM Internet Security Systems X-Force Research und Development Teams. Die Vorgehensweise der Hacker nehme bereits Züge an wie bei einem Channel-Sales-Modell in legitimen Unternehmen.

Es existierten inzwischen so genannte ‘Managed Exploit Provider’, die verschlüsselten Exploit-Code für viel Geld an Spam-Versender verkauften. Signatur-basierte Schutzmechanismen, die derzeit statt klassischer Code-Analyse angepriesen werden, könnten dadurch weniger effektiv sein in diesem Jahr, vermuten die Forscher.

Was das Spam-Problem betrifft, so gehen die Wissenschaftler von noch mehr intelligenten Spam-Angriffen aus als noch im Vorjahr. Außerdem prognostizieren sie, dass Malware nicht mehr in Kategorien aufgespaltet werden könne wie Virus, Rootkit oder Spyware. Diese Differenzierungen lösten Hacker selbst auf, um Sicherheits-Tools besser in die Irre führen zu können und sich an ihnen vorbeizuschleichen.

Eine deutliche Warnung sprachen sie auch in Bezug auf die Veröffentlichungen neuer Betriebssysteme in diesem Jahr aus. Die seien zwar mit mehr Sicherheitsfunktionen ausgestattet, ob ihrer Komplexität provozierten sie aber auch neue Schwachstellen.

Insgesamt registrierte das X-Force-Team 2006 7247 neue, ausnutzbare Schwachstellen, was etwa 20 neuen Lücken pro Tag entspricht und eine Steigerung von rund 40 Prozent gegenüber 2005 bedeutet. Über 88 Prozent der Löcher konnten remote ausgenutzt werden und in mehr als 50 Prozent der Fälle erlangten Hacker Zugang zu einer fremden Maschine.

“Die gute Nachricht ist, dass unser Team im vergangenen Jahr weniger Schwachstellen entdeckte, die sehr gefährlich waren”, sagte Gunter Ollmann, Director of Security Strategy bei IBMs ISS. Gab es 2005 noch 28 Prozent hochgefährliche Lücken, waren es 2006 lediglich noch 18 Prozent. Ollmann machte für die Verbesserung die Unternehmen verantwortlich, die sich mehr um die Sicherheit ihrer Infrastruktur kümmerten. Dennoch forderte er Firmen auf, nicht stehenzubleiben und weiter an der Sicherheit ihres Unternehmensnetzes zu arbeiten.