Exploit: hoe kwetsbaarheden in software worden misbruikt
Stel je een huis voor met honderd deuren en ramen. De meeste zijn goed afgesloten, maar één raam op de eerste verdieping klemt al jaren en gaat daardoor nooit helemaal dicht. Niemand die er langsloopt merkt het, tot iemand met kwade bedoelingen dat ene raam vindt, er een stok tussen wrikt en naar binnen klimt. In de digitale wereld heet dat kwetsbare raam een kwetsbaarheid (vulnerability) en het stokje waarmee iemand het openwrikt een exploit: een stukje code, data of een reeks handelingen die misbruik maakt van een fout in software of hardware om iets te doen wat nooit de bedoeling was.
Een exploit is dus niet hetzelfde als het probleem zelf. De fout in de programmacode is de kwetsbaarheid; de exploit is het gereedschap dat die fout daadwerkelijk bruikbaar maakt voor een aanvaller. Met een geslaagde exploit kan iemand bijvoorbeeld op afstand een computer overnemen, wachtwoorden buitmaken of een dienst laten crashen. Vaak is een exploit pas de eerste stap: daarna volgt een payload, de lading die daadwerkelijk schade aanricht, zoals gijzelsoftware (ransomware) of spionagesoftware.
Wat is het precies?
Software bestaat uit miljoenen regels code, geschreven door mensen. Mensen maken fouten, en sommige van die fouten zorgen ervoor dat een programma zich anders gedraagt dan bedoeld als je het net iets anders "voedt" dan verwacht. Zo'n fout heet een kwetsbaarheid. Voorbeelden zijn een buffer overflow (een programma krijgt meer data dan het geheugen aankan en schrijft daardoor per ongeluk buiten zijn eigen geheugengrenzen) of een fout in de manier waarop een website gebruikersinvoer verwerkt.
Wanneer beveiligingsonderzoekers of criminelen zo'n fout ontdekken, proberen ze uit te zoeken of hij daadwerkelijk te misbruiken is. Lukt dat, dan hebben ze een proof of concept: een demonstratie dat de kwetsbaarheid werkelijk uitgebuit kan worden. Wordt dat verder uitgewerkt tot bruikbaar gereedschap, dan spreken we van een exploit. Exploits worden ingedeeld naar hoe ze werken: een remote exploit werkt via het netwerk, zonder dat de aanvaller fysieke of ingelogde toegang nodig heeft; een local exploit vereist dat de aanvaller al enige toegang tot het systeem heeft en die wil uitbreiden.
Een cruciaal onderscheid is dat tussen een zero-day en een N-day. Een zero-day exploit maakt misbruik van een kwetsbaarheid die de softwaremaker nog niet kent of nog niet heeft opgelost; er zijn dus "nul dagen" geweest om je te verdedigen. Zodra de fabrikant een patch (reparatiesoftware) uitbrengt, wordt de kwetsbaarheid publiek bekend en spreekt men van een N-day: de klok tikt dan vanaf dat moment, want aanvallers weten nu ook dat het gat bestaat en kunnen software die nog niet is bijgewerkt aanvallen.
Om orde te scheppen in de wereldwijde stroom aan gevonden kwetsbaarheden bestaat het CVE-systeem (Common Vulnerabilities and Exposures), beheerd door de Amerikaanse non-profitorganisatie MITRE. Elke erkende kwetsbaarheid krijgt een uniek nummer, zoals CVE-2021-44228 (de beruchte Log4Shell-fout). Dat maakt het mogelijk dat onderzoekers, softwareleveranciers en beveiligingsteams wereldwijd over hetzelfde probleem praten zonder verwarring. Aanvullende systemen zoals CVSS (Common Vulnerability Scoring System) geven een score van 0 tot 10 om aan te duiden hoe ernstig een kwetsbaarheid is.
Wat wil men ermee bereiken?
Aan de kwaadwillende kant draait het meestal om geld, spionage of sabotage. Criminele groepen gebruiken exploits om ransomware te verspreiden en losgeld te eisen, om bedrijfsgeheimen te stelen of om toegang tot systemen te verkopen aan andere criminelen. Statelijke actoren gebruiken exploits soms voor spionage of, in uitzonderlijke gevallen, om fysieke schade aan te richten, zoals bij Stuxnet.
Aan de andere kant staat een hele sector die exact hetzelfde technische spel speelt, maar dan defensief. Beveiligingsonderzoekers zoeken actief naar kwetsbaarheden voordat criminelen dat doen, en volgen daarbij het principe van responsible disclosure: ze melden de fout eerst privé aan de softwaremaker, geven die tijd om een patch te maken, en maken pas daarna (of nooit) details openbaar. Veel bedrijven belonen dat met bug bounty-programma's: geldbedragen voor wie een kwetsbaarheid netjes meldt. Ook penetratietesters (pentesters) bouwen exploits, maar dan in opdracht van een organisatie, om te testen hoe goed haar systemen bestand zijn tegen een echte aanval, voordat een buitenstaander dat zonder toestemming doet.
Voorbeelden uit de praktijk
Stuxnet (ontdekt in 2010) was een zeer geavanceerde worm die meerdere zero-day exploits combineerde om Iraanse uraniumverrijkingscentrifuges fysiek te beschadigen door hun besturingssystemen te manipuleren. Het gold als een van de eerste bekende gevallen van digitale sabotage met tastbare, fysieke gevolgen, en wordt algemeen toegeschreven aan een statelijke operatie, al is dat nooit officieel bevestigd.
Heartbleed (2014) was een kwetsbaarheid in OpenSSL, de software die een groot deel van het internet gebruikt om verbindingen te versleutelen. Door de fout uit te buiten kon een aanvaller kleine stukjes geheugen van een server uitlezen, waaronder soms wachtwoorden of versleutelingssleutels. Omdat OpenSSL zo wijdverspreid is, moesten honderdduizenden servers wereldwijd gehaast worden bijgewerkt.
EternalBlue en WannaCry (2017) laten zien hoe een gelekte overheidsexploit enorme schade kan aanrichten. EternalBlue, een exploit voor een Windows-kwetsbaarheid die naar verluidt oorspronkelijk door de Amerikaanse NSA was ontwikkeld, lekte uit en werd de motor achter de wereldwijde ransomware-uitbraak WannaCry, die onder meer ziekenhuizen van het Britse NHS platlegde.
Log4Shell (december 2021) trof Log4j, een gratis, veelgebruikt logboek-onderdeel (logging library) dat in talloze Java-toepassingen wereldwijd verstopt zit, van webservers tot bedrijfssoftware. De kwetsbaarheid was zo eenvoudig te misbruiken en zo wijdverspreid dat het weken duurde voordat organisaties wereldwijd hun systemen hadden gepatcht.
MOVEit-inbraken (2023): de criminele groep Cl0p buitte een zero-day kwetsbaarheid uit in de bestandsoverdrachtssoftware MOVEit Transfer, waarmee gegevens van honderden organisaties en miljoenen personen werden gestolen, van Amerikaanse overheidsinstanties tot grote bedrijven wereldwijd.
Hoe ver is de techniek?
Het aantal geregistreerde CVE's groeit al jaren gestaag, mede doordat software complexer wordt en er simpelweg meer code in de wereld is om te doorzoeken. Onderzoekers gebruiken steeds vaker geautomatiseerde technieken zoals fuzzing: software bestoken met willekeurige of afwijkende invoer om te zien wanneer hij crasht of zich vreemd gedraagt, wat vaak op een onderliggende kwetsbaarheid wijst. Ook wordt kunstmatige intelligentie steeds vaker ingezet, zowel om kwetsbaarheden sneller te vinden als, potentieel, om exploits te automatiseren; hoe groot dat effect in de praktijk al is, is onderwerp van actief onderzoek en discussie.
Tegelijk blijft de kloof tussen het vinden van kwetsbaarheden en het daadwerkelijk oplossen ervan een hardnekkig probleem. Patches worden lang niet altijd snel geïnstalleerd: organisaties draaien verouderde systemen die niet meer ondersteund worden, IT-afdelingen zijn overbelast, en sommige apparaten (zoals industriële besturingssystemen) kunnen niet zomaar even offline voor onderhoud. Daardoor blijven ook oude, allang gepatchte kwetsbaarheden jarenlang een reëel risico. Daarnaast bestaat er een ondoorzichtige markt van zogeheten zero-day brokers, tussenpartijen die ongepatchte kwetsbaarheden opkopen en doorverkopen, onder meer aan overheden; hoeveel geld daarin omgaat en hoe die markt precies functioneert, is grotendeels onbekend terrein, wat de discussie over regulering bemoeilijkt.
Wie werken eraan?
Aan de coördinerende kant staat MITRE in de Verenigde Staten, dat het CVE-programma beheert, aangevuld door NIST met de National Vulnerability Database (NVD), die extra context en risicoscores toevoegt. De Amerikaanse cyberveiligheidsdienst CISA houdt onder meer een lijst bij van kwetsbaarheden die actief worden misbruikt. Nederland heeft zijn eigen NCSC (Nationaal Cyber Security Centrum), dat waarschuwingen afgeeft en overheidsorganisaties en vitale sectoren ondersteunt; vrijwel elk land heeft inmiddels een vergelijkbaar CERT of CSIRT (Computer Emergency Response Team).
Grote techbedrijven hebben eigen onderzoeksteams die actief naar kwetsbaarheden zoeken, zoals Google Project Zero, Microsoft Security Response Center (MSRC) en de beveiligingsteams van Apple. Daarnaast bestaan platforms als HackerOne en Bugcrowd, die bedrijven en onafhankelijke onderzoekers ("ethische hackers") aan elkaar koppelen voor bug bounty-programma's. Ook universiteiten en academische onderzoeksgroepen dragen bij, vaak door nieuwe aanvalstechnieken of verdedigingsmethoden te publiceren op wetenschappelijke conferenties.