Was ist ein Zero-Day?

Was ist ein Zero-Day?

Ein Zero-Day (0-Day) ist eine ungepatchte Sicherheitslücke, die den Entwicklern von Software, Hardware oder Firmware unbekannt ist. „Zero-Day“ sagt aus, dass die betroffenen Parteien null Tage Zeit haben, um sich auf den Angriff vorzubereiten oder ihn abzuwehren, da sie noch keine Kenntnis von der Schwachstelle haben. Zero-Day-Exploits werden oft auf dem Schwarzmarkt gehandelt oder von kriminellen Hackern verwendet, um die Sicherheitslücke auszunutzen.

Im Allgemeinen bezieht sich der Begriff Zero-Day auf zwei Dinge:

Zero-Day-Sicherheitslücken: Eine Sicherheitslücke, z. B. in einem Betriebssystem, die dem Entwickler und der Antivirensoftware unbekannt ist.

Zero-Day-Exploits: Ein Cyber-Angriff, der eine Zero-Day-Schwachstelle ausnutzt. Zero-Day-Exploits können dazu verwendet werden, verschiedene Arten von Malware zu installieren, sensible Daten oder Kreditkartennummern zu stehlen und Datenverletzungen zu verursachen.

Der Name Zero-Day leitet sich von der Anzahl der Tage ab, seit denen es einen Patch für die Schwachstelle gibt: Null.

Was sind die Risiken von Zero-Day-Schwachstellen?

Zero-Day-Bedrohungen stellen ein erhebliches Risiko für die Cybersicherheit dar, da sie demjenigen, der für die Behebung der Schwachstelle verantwortlich ist, unbekannt sind und möglicherweise bereits ausgenutzt werden.

BlueKeep (CVE-2019-0708) beispielsweise ist eine Sicherheitslücke für die Ausführung von Remotecode, die etwa eine Million Systeme (Stand: 29. Mai 2019) mit älteren Versionen von Microsoft-Betriebssystemen betrifft.

Diese Zero-Day-Schwachstelle machte während des Patch Tuesday von Microsoft im Mai 2019 Schlagzeilen, da sie wurmfähig ist.

Das bedeutet, dass sich erfolgreiche Cyberangriffe, die BlueKeep nutzen, auf ähnliche Weise ausbreiten können wie der EternalBlue-Exploit von WannaCry.

Microsoft sah BlueKeep als eine so große Cyber-Bedrohung für die Informations- und Cybersicherheit an, dass sie Patches für nicht mehr unterstützte und nicht mehr verfügbare Betriebssysteme veröffentlichten.

BlueKeep kann mit Tools wie Masscan und Zmap, die große Teile des Internets scannen, innerhalb von Minuten entdeckt werden, so dass es für Angreifer trivial ist, verwundbare Systeme zu finden.

Was macht eine Sicherheitslücke zu einer Zero-Day-Sicherheitslücke?

Normalerweise finden security-researchers potenzielle Schwachstellen in Softwareprogrammen, benachrichtigen das Softwareunternehmen, um das Sicherheitsrisiko zu beheben, und geben es nach einer gewissen Zeit über CVE öffentlich bekannt.

Googles Project Zero beispielsweise gibt Anbietern bis zu 90 Tage Zeit, um eine Sicherheitslücke zu schließen, bevor sie sie veröffentlichen. Für als kritisch eingestufte Schwachstellen wird eine Frist von sieben Tagen eingeräumt, und aktiv ausgenutzte Schwachstellen können sofort öffentlich bekannt gegeben werden.

Der Grund dafür ist, dass die meisten Unternehmen in der Lage sind, die Schwachstelle zu beheben und ein Software-Update (Patch) zu verteilen, um sie zu beheben.

Und im Allgemeinen funktioniert das auch. Potenzielle Angreifer brauchen Zeit, um herauszufinden, wie sie die Sicherheitslücke am besten ausnutzen können.

Es gibt jedoch Situationen, in denen sich der Entdecker dafür entscheidet, den Softwarehersteller und die Anbieter von Antivirenprogrammen nicht zu benachrichtigen.

Zero-Day-Schwachstellen und Exploit-Codes sind äußerst wertvoll, nicht nur für Cyberkriminelle, sondern auch für staatliche Akteure, die sie für Cyberangriffe auf feindliche Staaten nutzen können.

Was sind gängige Zero-Day-Angriffsvektoren?

Welcher Angriffsvektor bei einem Zero-Day-Angriff verwendet wird, hängt von der Art der Zero-Day-Schwachstelle ab.

Wenn Benutzer betrügerische Websites besuchen, kann bösartiger Code auf der Website manchmal Zero-Day-Schwachstellen in Webbrowsern wie Internet Explorer oder Chrome ausnutzen.

Ein weiterer gängiger Angriffsvektor zur Ausnutzung von Zero-Day-Schwachstellen sind E-Mails. Cyberkriminelle nutzen E-Mail-Spoofing, Phishing oder Spear-Phishing, um Angriffe zu starten, die vom Opfer geöffnet werden müssen, um die bösartige Nutzlast auszuführen.

Die Gefahr von Zero-Day-Angriffen besteht darin, dass ihr Angriffsvektor unbekannt ist und in der Regel von Bedrohungsdaten und Sicherheitssoftware unentdeckt bleibt.

Wer sind die typischen Ziele von Zero-Day-Angriffen?

• Regierungsbehörden
• Große Unternehmen
• Einzelpersonen mit Zugang zu wertvollen Geschäftsdaten oder geistigem Eigentum
• Gruppen von Einzelpersonen mit anfälligen Systemen wie einem veralteten Android- oder Linux-Gerät
• Hardware-Geräte und deren Firmware
• Internet der Dinge (IoT)
• Feinde des Staates

Was sind Beispiele für Zero-Day-Angriffe?

Microsoft Outlook / Fancy Bear (2023): Die russische staatlich gesteuerte APT-Gruppe Fancy Bear nutzte CVE-2023-23397 aus, um Microsoft-Exchange-Konten anzugreifen. Bemerkenswert, weil die Lücke ohne Nutzerinteraktion ausgenutzt werden konnte.

Predator-Spyware via iOS/Chrome (2023): Eine Exploit-Kette aus drei Zero-Days. Forscher von Citizen Lab und Googles Threat Analysis Group enthüllten, dass die Schwachstellen zur Auslieferung der Predator-Spyware des kommerziellen Überwachungsanbieters Cytrox genutzt wurden. Ziel war unter anderem Ahmed Eltantawy, ein ehemaliges Mitglied des ägyptischen Parlaments, dessen Telefon zwischen Mai und September 2023 infiziert wurde.

Citrix Bleed (2023): Eine Schwachstelle (CVE-2023-4966) in Citrix NetScaler ADC und NetScaler Gateway. Sie war einer der am häufigsten ausgenutzten Bugs des Jahres und landete in der Top-15-Liste der routinemäßig ausgenutzten Schwachstellen. Die Ausnutzung setzte sich auch im November fort. Wurde unter anderem von Ransomware-Gruppen für Angriffe auf Finanzdienstleister genutzt.

GoAnywhere MFT (2023): Ende Januar 2023 startete die Clop-Gruppe eine Kampagne über eine Zero-Day-Schwachstelle (CVE-2023-0669) gegen die GoAnywhere-MFT-Plattform und exfiltrierte nach eigenen Angaben Daten von rund 130 Opfern innerhalb von zehn Tagen. Eine Pre-Authentication-Command-Injection-Lücke, die zeigt, wie File-Transfer-Lösungen zum bevorzugten Ziel werden.

MOVEit Transfer (2023): Die Clop-Ransomware-Gruppe nutzte eine SQL-Injection-Zero-Day-Schwachstelle (CVE-2023-34362) in der weit verbreiteten Managed-File-Transfer-Software MOVEit aus. Progress Software warnte am 31. Mai 2023 vor der bis dahin unbekannten Lücke, nachdem eine massive Angriffskampagne entdeckt wurde, die sensible Dateien von verwundbaren Servern abgriff. Die Angreifer installierten eine Web-Shell namens LEMURLOOT zur Persistenz und Datenexfiltration. Es wurde zu einem der größten Datendiebstähle des Jahres mit Hunderten betroffenen Organisationen, darunter Behörden und Großunternehmen weltweit.

WannaCry: Ein Ransomware-Wurm nutzte EternalBlue aus, eine Schwachstelle in alten Windows-Versionen mit veraltetem SMB-Protokoll. Die NSA entdeckte die Lücke Monate vor WannaCry, veröffentlichte sie aber nicht. Cyberkriminelle stahlen EternalBlue und nutzten es für WannaCry. WannaCry verbreitete sich auf Hunderttausende Computer, bevor Microsoft einen Patch veröffentlichte.

Stuxnet: Ein bösartiger Computerwurm, der erstmals 2010 entdeckt wurde und sich vermutlich seit mindestens 2005 in der Entwicklung befand. Stuxnet zielte auf SCADA-Systeme der iranischen Urananlage Natanz. Der Wurm nutzte fünf Zero-Day-Schwachstellen zur Verbreitung und zur Umgehung der Zugangskontrollen. Eine Schwachstelle war zwar gepatcht, aber viele Rechner wurden nicht aktualisiert.

RSA: Im Jahr 2011 nutzten Angreifer eine ungepatchte Sicherheitslücke in Adobe Flash Player, um in die Netzwerksicherheit des Sicherheitsunternehmens RSA einzudringen. Die Angreifer nutzten Phishing und E-Mail-Spoofing, um infizierte Excel-Tabellen an kleine Gruppen von RSA-Mitarbeitern zu verteilen. Die Excel-Dateien enthielten eine eingebettete Flash-Datei, die die Zero-Day-Schwachstelle ausnutzte und das Remote Administration Tool (RAT) Poison Ivy installierte. Sobald sie sich Zugang verschafft hatten, suchten die Angreifer nach sensiblen Daten und übermittelten sie an ihre Server.

Operation Aurora: Im Jahr 2009 verschafften sich vermutlich chinesische Angreifer unbefugten Zugang zu Dutzenden amerikanischer Unternehmen, darunter Google, Adobe, Juniper Networks und Rackspace, indem sie eine Zero-Day-Schwachstelle in mehreren Versionen des Internet Explorer ausnutzten.

Sony Pictures: Sony Pictures wurde Ende 2014 Opfer eines Zero-Day-Malware-Angriffs. Die Angreifer nutzten eine Schwachstelle im Server Message Block (SMB) aus. Diese Schwachstelle führte zu einem massiven Datenverlust. Dabei wurden wertvolle Unternehmensdaten entwendet. Dazu gehörten unter anderem bevorstehende Filme, vertrauliche Geschäftspläne und persönliche E-Mail-Adressen. Auch die Adressen wichtiger Sony-Führungskräfte waren betroffen. Die gestohlenen Daten konnten gezielt zur Unternehmensspionage verwendet werden.