Malware til jul? Her er prislisten…

Du tror det ikke før du ser det. Zero Day Exploits til salgs, og prislisten er åpen. Er det mulig?

Det er ikke eksistensen av slik business som forundrer. Den svarte cyber-økonomien er big business, raskt voksende og estimeres til over 150 milliarder USD i 2015. En kombinasjon av tjenester, data og ekspertise vi har satt søkelyset på ved tidligere anledninger (Terror as a Service (2014) , Lag din egen malware (2009) og Intrusion as a Service (2010)). Det som overrasker er åpenheten. Er det mulig å drive slik business så åpent, og slippe unna med det?

Tydeligvis. Og la det være sagt: Det er ikke salgsprisen som publiseres, men kjøpsprisen. Zerodium.com betaler godt for hittil ukjente exploits, og hevder å ‘velge sine kunder med omhu’. Definitivt en juridisk gråsone der det kan argumenteres for at selskapet gjør markedet en tjeneste ved å kjøpe eneretten til hull og svakheter. Men Zerodium driver ikke – og hevder heller ikke å drive – veldedighet. Kundene betaler ifølge Wired Magazine en halv million USD årlig for tilgang til exploit-databasen. Magasinet nevner samtidig to andre selskaper i samme business ManTech og Raytheon – gamle travere i forsvarssammenheng både i USA og mange NATO-land.

Utover å vekke oppmerksomhet og minne om en virkelighet vi helst fortrenger, gir Zerodiums åpenhet en nyttig indikasjon på hvordan ulike plattformer og løsninger står seg sikkerhetsmessig. Det har ikke bare med software-kvalitet å gjøre, men også hvor produktene brukes og hvor utbredte de er. En ‘remote jailbreak’ for Apple iOS topper listen med $500.000, etterfulgt av Windows Phone og Android med $100.000. På bunnen regjerer de mest populære Open Source pakkene for CMS og diskusjonsfora: Joomla, WordPress, Drupal, phpBB og flere – for magre $5.000.

At Apple leder overrasker ingen. Selskapets trange nåløyer og relativt lukkede system blir kritisert oppad stolpe og nedad vegg, men har tydelige gevinster. Mer overraskende og positivt er det at Android skårer relativt bra til tross for et frynsete rykte.

Hvordan kunnskapen påvirker våre valg? Det kommer an på hvem vi er. For de mest sikkerhetsbevisste miljøene er dette relevant kunnskap. For resten av markedet en påminnelse. Om PST er kunde? Vi tviler, men vet aldri.

---

Se også …

• Her er NSAs spionasjeverktøy
• Terror as a Service (2014)
• Lag din egen malware (2009)
• Intrusion as a Service (2010)