Less-Than-Zero-Day Exploit

Ein Angriffsprogramm (Exploit), das eine unveröffentlichte - einer oder nur sehr wenigen Personen bekannte - Sicherheitslücke (Less-Than-Zero-Day Vulnerability) ausnutzt.

Da man sich nur gegen etwas was schützen kann, was man kennt (Angriffssignatur oder Angriffsverhalten - Heuristik), sind IT-Systeme derartigen Angriffen schutzlos ausgeliefert, sie können gegen solche Angriffe grundsätzlich nicht geschützt werden. Less-Than-Zero-Day Vulnerabilities können mit einem zugehörigen Less-Than-Zero-Day Exploit also grundsätzlich erfolgreich angegriffen werden: Für unveröffentlichte Vulnerabilities existieren keine spezifischen Schutzmaßnahmen; der Angegriffene kann den Angriff jedenfalls grundsätzlich nicht (direkt) erkennen.

Anzeige

In der Vergangenheit wurden Sicherheitslücken meist dem Hersteller gemeldet; dieser stellte (allerdings nicht in allen Fällen) eine Fehlerkorrektur zur Verfügung. In jüngerer Zeit werden Sicherheitslücken systematisch (Tool-gestützt) gesucht und an Nachrichtendienste, Unternehmen und an die organisierte Kriminalität und Botnet-Betreiber verkauft - und nicht oder nicht sofort dem Hersteller gemeldet.

Durch Ausnutzung dieser unveröffentlichten Sicherheitslücken wird Wirtschaftsspionage und Computersabotage (auch der Steuerungsrechner des Internet) unerkannt praktiziert.

Markt für Vulnerabilities

Einige Vulnerabilities werden in Mailing- oder anderen Listen veröffentlicht. Zunehmend weniger werden dem Hersteller mitgeteilt - vielmehr bemühen sich Unternehmen, sie gegen Entgelt anzukaufen, um ihren Kunden Schutzmaßnahmen empfehlen zu können. Internet-Auktionen wurden vorgeschlagen und realisiert.

Für Vulnerabilities existiert also ein offener und ein verdeckter Markt. Gerade der Untergrundmarkt entwickelt sich schnell.

In jüngerer Zeit wird in den USA für Less-Than-Zero-Day Vulnerabilities eine Mitteilungspflicht an das Department of Homeland Security (DHS) diskutiert.

Siehe übergeordnete Stichworte

• Exploit

Siehe auch

• ARP Cache Poisoning
• Cross-Site-Scripting (XSS)
• Denial-of-Service (DoS) Attacke
• Google Hacking
• IP Spoofing
• Man-In-the-Middle
• Phishing
• RTP-Injection
• SQL-Injection
• Sniffing
• Zero-Day Exploit