Wie verbreitet sind zero day exploits in gängigen Browsern?

[0x00]

cvedetails.com bietet einen Überblick mit bekannten, aber behobenen Schwachstellen für diese häufig verwendeten Browser: Google Chrome, Mozilla Firefox und Internet Explorer. Solche Listen gibt es auch für viele andere Browser. Es gibt auch solche Schwachstellen, die nie gemeldet wurden und auch für böswillige Zwecke genutzt werden können. Beispielsweise von Regierungen um Aktivisten zu Überwachen, zu Foltern. Oder auch von anderen Kriminellen, um mehr oder weniger gezielt Opfer zu infizieren oder zu manipulieren.

Ich weiß, dass vor Jahren 0 day exploits in Adobe Flash verwendet wurde, um Browser zu hacken. Flash verschwindet zwar immer mehr aus dem Internet. Aber trotzdem gibt es in den gängigen Browsern immer noch zero days, in manchen mehr, in anderen weniger.

Wie oft kommt es vor, dass Browser 0days (oder evtl. auch gegen Browser-Erweiterungen) in der Praxis verwendet werden?

Gibt es Studien oder öffentlich zugängliche Statistiken, die dieses Thema analysiert haben?

[Tuxpower]

Ein 0Day-Exploit ist ein Exploit, das der Öffentlichkeit, insbesondere dem Anbieter, noch nicht bekannt ist. Daher sind Statistiken über solche Exploits nur schwer zu erstellen. Höchstwahrscheinlich wird man einen 0Day-Angriff verwenden, wenn Sie das Gefühl haben, dass Sie durch die Verwendung mehr Wert gewinnen können als durch den Verkauf. Warum? Denn jede Nutzung birgt ein Risiko in sich. Im "schlimmsten" Fall wird der 0Day-Schwachpunkt erkannt, an den Lieferanten gemeldet und behoben. Der Wert des Exploits sinkt dann im Grunde auf null, da der Exploit an dieser Stelle öffentlich bekannt wird und damit bald behoben sein wird.

Es ist schwer abzuschätzen, wie oft sie verwendet werden. Aller Wahrscheinlichkeit nach, sehr selten. Wie bereits erwähnt, stellt es ein Risiko für die Person oder Gruppe dar, die den Exploit nutzt. Sie denken vielleicht, dass es ebenso riskant ist, sie nicht zu verwenden, da die Schwachstelle mit jedem Tag unabhängig voneinander gefunden und an den Anbieter gemeldet werden kann.

Der Grund, warum du keine guten Statistiken darüber haben kannst, ist einfach: Wenn ich von einer Schwachstelle seit 2017 wusste, und Anfang 2020 ist sie behoben - wer sonst außer mir würde wissen, dass ich davon wusste? Wie würde jemand diese Daten sammeln? Selbst wenn man die Täter erreicht, wer würde das zugeben? Weder von staatlichen Stellen noch von Kriminellen würde ich hier auch nur verwertbare Aussagen erwarten. Sie würden sich damit ja auch ein Stück weit selbst belasten. Das Kaufen/Missbrauchen von solchen Exploits ist teils verboten und unabhängig davon gerade in Sicherheitskreisen auch moralisch eine große Verwerfung. Solches Verhalten kann die generelle IT-Sicherheit von allen schwächen.