Het verkopen van exploits voor beveiligingslekken is big business, zo blijkt uit onderzoek van IBM. Er is inmiddels een heuse "bedrijfstak" die 'exploits-as-a-service' aanbiedt. In 2006 waren er al verkopers van exploits actief. Zij kopen codes op in de internetonderwereld, versleutelen die en zorgen ervoor dat ze niet te kopiëren zijn. Vervolgens verkopen ze de exploits voor veel geld aan spammers en andere kwaadwillenden, aldus de onderzoekers van het X-Force-onderzoeks- en ontwikkelingsteam.

Dit jaar komen deze exploit-leveranciers met een nieuwe dienst, namelijk exploit-leasing. Door een exploit te leasen, kunnen hackers en spammers tegen een geringe investering een aantal exploit-technieken uitproberen. Deze dienst maakt deze markt nog aantrekkelijker voor internetcriminelen.

Volgens het rapport maken trojans het grootste deel uit van de categorie malware in 2007, te weten 28 procent. Dit in tegenstelling tot 2006, toen 'downloaders' de grootste categorie vormden. De onderzoekers merken verder op dat het aantal beveiligingslekken met 3,3 procent is afgenomen.

Als reden wordt gegeven dat nog niet-ontdekte kwetsbaarheden en exploits geld kunnen genereren. Ten tweede is het gebruik van 'fuzzing' door onderzoekers de laatste twee jaar toegenomen. Ten slotte daalt het aantal programmeerfouten en bugs, omdat ontwikkelaars veiliger programmeren.