Zero-day-kwetsbaarheid: het beveiligingslek dat niemand nog kende
Stel je voor: een inbreker ontdekt dat het achterraam van een huis niet goed sluit, maar vertelt dat aan niemand. Hij kan op elk gewenst moment naar binnen, terwijl de bewoners denken dat alle ramen en deuren stevig op slot zitten. Zo'n onopgemerkt zwak punt in software heet in de digitale wereld een zero-day-kwetsbaarheid: een fout in een programma, app of apparaat waar de maker nog niets van weet, en waarvoor dus ook nog geen reparatie (patch) bestaat.
De naam komt van het aantal dagen dat de softwaremaker heeft gehad om het probleem op te lossen voordat het wordt misbruikt: nul. Zodra iemand zo'n lek daadwerkelijk gebruikt om in te breken in een systeem, spreken we van een zero-day-exploit of zero-day-aanval. Dit soort kwetsbaarheden is bijzonder gevild, omdat er op het moment van de aanval geen enkele bekende bescherming tegen bestaat: het digitale equivalent van een inbraak via een deur waarvan niemand wist dat die open kon.
Wat is het precies?
Alle software bevat fouten. De meeste zijn onschuldig: een knop die net iets verkeerd werkt, of een app die soms vastloopt. Sommige fouten hebben echter gevolgen voor de beveiliging: ze maken het mogelijk om zonder toestemming toegang te krijgen tot een systeem, gegevens te stelen of een apparaat op afstand over te nemen. Zo'n fout heet een kwetsbaarheid.
Een kwetsbaarheid op zich is nog geen aanval. Pas als iemand een stukje code schrijft dat handig gebruikmaakt van die fout, ontstaat een exploit: het digitale gereedschap waarmee de kwetsbaarheid daadwerkelijk wordt misbruikt. Bij complexere aanvallen worden vaak meerdere exploits achter elkaar geschakeld, een zogeheten exploitketen, waarbij de ene fout wordt gebruikt om toegang te krijgen en de volgende om dieper het systeem in te dringen.
De levenscyclus van een kwetsbaarheid verloopt idealiter zo: een onderzoeker of hacker ontdekt het lek, meldt dit privé aan de softwaremaker (dit heet responsible disclosure, verantwoorde openbaarmaking), de maker bouwt een patch, en pas als die patch beschikbaar is, wordt het probleem publiekelijk bekendgemaakt. Grote bedrijven zoals Microsoft brengen patches vaak op vaste momenten uit, bijvoorbeeld op de bekende "Patch Tuesday", de tweede dinsdag van de maand. Elke serieuze kwetsbaarheid krijgt bovendien een uniek volgnummer, een CVE (Common Vulnerabilities and Exposures), zodat beveiligingsteams wereldwijd over hetzelfde lek kunnen communiceren.
Het gevaar van een zero-day is dat dit hele proces wordt overgeslagen: iemand ontdekt het lek en gebruikt het meteen, of verkoopt de kennis ervan, zonder dat de fabrikant ooit de kans heeft gekregen om het te repareren. Dat noemen we ook wel full disclosure wanneer het lek zonder waarschuwing openbaar wordt gemaakt, of erger: helemaal niet openbaar wordt gemaakt maar heimelijk wordt ingezet.
Wat wil men ermee bereiken?
De motieven achter zero-days verschillen sterk per partij. Criminele hackers zoeken vooral financieel gewin: met een onbekend lek kunnen ze bijvoorbeeld ransomware verspreiden, gijzelsoftware die bestanden versleutelt totdat losgeld wordt betaald, of gevoelige gegevens stelen om te verkopen.
Statelijke actoren en inlichtingendiensten gebruiken zero-days voor spionage of sabotage. Omdat deze aanvallen nauwelijks te herleiden zijn zolang het lek onbekend blijft, zijn ze aantrekkelijk voor operaties die geheim moeten blijven. Sommige landen investeren bewust in het opsporen en achterhouden van zero-days als onderdeel van hun offensieve cybercapaciteiten, in plaats van ze te melden aan de softwaremaker.
Daartegenover staat de verdedigende kant: beveiligingsonderzoekers, interne security-teams van bedrijven en nationale computer-noodhulpteams (CERT's of CSIRT's) proberen kwetsbaarheden juist te vínden en te laten repareren vóórdat criminelen of vijandige staten ze kunnen misbruiken. Veel bedrijven belonen ethische hackers hiervoor via bug bounty-programma's: geldprijzen voor wie een lek netjes meldt in plaats van misbruikt.
Tussen deze twee werelden in bestaat een grijze en zwarte markt voor zero-days. Gespecialiseerde bedrijven kopen kennis over onbekende kwetsbaarheden op en verkopen die door aan overheden of bedrijven, vaak voor bedragen die kunnen oplopen tot miljoenen euro's per exploit, afhankelijk van het getroffen systeem en de moeilijkheidsgraad.
Voorbeelden uit de praktijk
Stuxnet (ontdekt in 2010) is wellicht het bekendste voorbeeld. Deze computerworm maakte gebruik van meerdere zero-day-kwetsbaarheden om de nucleaire verrijkingsinstallatie in Natanz, Iran, te saboteren door centrifuges op afstand te laten beschadigen. Stuxnet wordt breed toegeschreven aan de Verenigde Staten en Israël, al is dit nooit officieel bevestigd door beide landen.
EternalBlue was een exploit die de Amerikaanse inlichtingendienst NSA ontwikkelde op basis van een kwetsbaarheid in Windows. In 2017 werd deze exploit gestolen en openbaar gemaakt door een groep die zichzelf de Shadow Brokers noemde. Kort daarna werd EternalBlue de motor achter twee van de grootste ransomware-uitbraken ooit: WannaCry (mei 2017), dat onder meer ziekenhuizen in het Verenigd Koninkrijk platlegde, en NotPetya (juni 2017), dat wereldwijd miljarden euro's schade veroorzaakte.
De Log4Shell-kwetsbaarheid (december 2021) trof Log4j, een veelgebruikte Java-softwarebibliotheek voor het bijhouden van logboeken. Omdat Log4j in talloze systemen wereldwijd verwerkt zit, van webshops tot overheidssystemen, veroorzaakte deze ene fout een van de grootste opruimoperaties in de geschiedenis van de it-beveiliging.
In 2023 buitte de ransomwaregroep Cl0p een zero-day uit in MOVEit Transfer, software die bedrijven gebruiken om grote bestanden veilig uit te wisselen. De aanval trof honderden organisaties, waaronder overheidsinstanties en grote bedrijven, en leidde tot diefstal van gegevens van miljoenen mensen.
Tot slot is er Pegasus, spionagesoftware van het Israëlische bedrijf NSO Group. Pegasus maakte onder meer gebruik van de zogeheten "zero-click"-exploit FORCEDENTRY, ontdekt in 2021 door Citizen Lab (een onderzoeksgroep van de Universiteit van Toronto). Bij zo'n zero-click-aanval hoeft het slachtoffer nergens op te klikken: alleen al het ontvangen van een bericht kan volstaan om een telefoon over te nemen. Pegasus is herhaaldelijk ingezet tegen journalisten, mensenrechtenactivisten en politici.
Hoe ver is de techniek?
Zowel het vinden als het misbruiken van zero-days is de afgelopen jaren geprofessionaliseerd. Beveiligingsonderzoekers gebruiken steeds vaker geautomatiseerde technieken zoals fuzzing, waarbij software met grote hoeveelheden willekeurige of afwijkende invoer wordt gebombardeerd om te zien waar het vastloopt of crasht, wat vaak wijst op een onderliggende kwetsbaarheid. Ook kunstmatige intelligentie wordt in toenemende mate ingezet om patronen in code te herkennen die op fouten duiden, al staat dit toepassingsgebied nog in de kinderschoenen en is het niet duidelijk hoezeer dit de balans tussen aanval en verdediging zal verschuiven.
Aan de verdedigende kant houdt het Amerikaanse cyberagentschap CISA een openbare lijst bij, de Known Exploited Vulnerabilities-catalogus (KEV), van kwetsbaarheden waarvan is vastgesteld dat ze actief worden misbruikt. Dit soort gestructureerde overzichten helpt organisaties prioriteiten te stellen bij het patchen van hun systemen.
Toch blijft patchmanagement in de praktijk een knelpunt. Ook als een patch beschikbaar is, duurt het bij veel organisaties weken tot maanden voordat die daadwerkelijk wordt geïnstalleerd, bijvoorbeeld omdat systemen eerst getest moeten worden of omdat verouderde (legacy) apparatuur niet zomaar bijgewerkt kan worden. Tegelijkertijd groeit het aanvalsoppervlak: door de opkomst van internet-of-things-apparaten, cloud-diensten en steeds meer verbonden systemen zijn er simpelweg meer plekken waar een onbekende kwetsbaarheid zich kan verstoppen. Diverse dreigingsrapporten van beveiligingsbedrijven signaleren de afgelopen jaren een toename van het aantal zero-days dat actief wordt misbruikt, al verschillen de exacte cijfers per bron en meetmethode.
Wie werken eraan?
Google Project Zero, opgericht in 2014, is een van de bekendste onderzoeksteams dat gericht jaagt op onbekende kwetsbaarheden in veelgebruikte software, ongeacht de fabrikant. Grote softwarebedrijven zoals Microsoft, Apple en Google hebben daarnaast eigen interne beveiligingsteams die continu naar zwakke plekken in hun eigen producten zoeken.
Op nationaal niveau spelen computer-noodhulpteams een centrale rol. In Nederland is dat het Nationaal Cyber Security Centrum (NCSC-NL), dat overheid en vitale sectoren informeert over dreigingen en kwetsbaarheden. In de Verenigde Staten vervult CISA een vergelijkbare functie, terwijl MITRE het internationale CVE-registratiesysteem beheert waarmee kwetsbaarheden eenduidig worden benoemd. Op Europees niveau coördineert ENISA, het EU-agentschap voor cyberbeveiliging, kennisdeling tussen lidstaten.
Bug bounty-platforms zoals HackerOne en Bugcrowd vormen de brug tussen bedrijven en de grote groep onafhankelijke onderzoekers wereldwijd die tegen beloning kwetsbaarheden melden. Aan de andere kant van het spectrum opereren commerciële exploit-handelaren zoals Zerodium, die zero-days opkopen en doorverkopen, en gespecialiseerde bedrijven zoals NSO Group, die spionagesoftware op basis van zero-days ontwikkelt en verkoopt aan overheden. Ook inlichtingendiensten van verschillende landen, waaronder de Amerikaanse NSA, worden door onderzoekers en journalisten in verband gebracht met het verzamelen en inzetten van zero-days, al is dit werk per definitie grotendeels niet publiek gedocumenteerd.