Das interne Sicherheitsteam von Google warnte, dass Zero-Day-Sicherheitsbedrohungen zu einem größeren Risiko denn je werden.
In seiner jährlichen Zusammenfassung der Zero-Day-Bedrohungslandschaft stellte das Google Project Zero-Team fest, dass im Jahr 58 2021 verschiedene Bedrohungen identifiziert wurden, die höchste Zahl seit Beginn der Forschung im Jahr 2014.
Dies stellt einen Anstieg gegenüber den 25 im Jahr 2020 entdeckten Exploits dar und ist fast doppelt so viele wie in den meisten von der Umfrage abgedeckten Jahren.
Zero-Day-Bedrohung
Etwas entmutigend stellte das Team fest, dass sich die von Zero-Day-Angreifern verwendete Methodik im Vergleich zu den Vorjahren offenbar nicht wesentlich verändert oder weiterentwickelt hat und dass sich dieselben Fehlermuster und Ausnutzungstechniken weiterhin als beliebt erweisen.
„Wenn wir uns diese 58 0 Tage im Jahr 2021 ansehen, sehen wir stattdessen 0 Tage, ähnlich wie frühere öffentlich bekannte Schwachstellen“, schrieb Google. „Wir gehen davon aus, dass Angreifer, um erfolgreich zu sein, neue Fehlerklassen von Schwachstellen in neuen Angriffsflächen finden und dabei bisher unbekannte Ausnutzungsmethoden nutzen müssen. Insgesamt haben uns die Daten dieses Jahr nicht gezeigt.
Allerdings weist Google auch darauf hin, dass die Zunahme der gemeldeten Zero-Day-Angriffe tatsächlich eine gute Sache sein könnte, da sie bedeutet, dass mehr Bedrohungen gemeldet und öffentlich bekannt gegeben werden.
„Wir haben diese Analyse durchgeführt und geteilt, um Tag 0 schwieriger zu machen“, schrieb Maddie Stone vom Project Zero-Team in einem Blogbeitrag, in dem sie die Ergebnisse bekannt gab. „Wir wollen es für Angreifer teurer, ressourcenintensiver und generell schwieriger machen, Zero-Day-Fähigkeiten zu nutzen.“
„Das Jahr 2021 hat gezeigt, wie wichtig es ist, unermüdlich daran zu arbeiten, es Angreifern mit 0 Tagen schwerer zu machen, Benutzer auszunutzen. Wir haben immer wieder gehört, wie Regierungen Journalisten, Minderheiten, Politiker, Menschenrechtsverteidiger und darunter auch Sicherheitsforscher angreifen.“ aus aller Welt.
„Die Entscheidungen, die wir in den Bereichen Sicherheit und Technologie treffen, können einen echten Einfluss auf die Gesellschaft und das Leben unserer Mitmenschen haben.“
Insgesamt sagt Google, dass sich die Branche bei der „Erkennung und Offenlegung“ von Zero-Day-Exploits offenbar verbessert, weist jedoch darauf hin, dass dies noch „kleine Schritte“ seien.
Das Unternehmen fordert eine Reihe von Maßnahmen, um den Fortschritt zu beschleunigen, einschließlich der Festlegung branchenüblicher Verhaltensweisen, damit alle Anbieter öffentlich offenlegen, wenn es Hinweise darauf gibt, dass eine Schwachstelle in ihrem Produkt ausgenutzt wird.
Google sagt außerdem, dass Anbieter und Sicherheitsforscher größere Anstrengungen unternehmen sollten, um Beispiele oder Ausnutzungstechniken auszutauschen, und dass auch mehr Anstrengungen erforderlich sind, um Schwachstellen durch Speicherbeschädigung oder deren Inoperabilität zu reduzieren.