Op Russische fora voor cybercriminelen worden nieuwe beveiligingslekken in Java voor grote bedragen aangeboden. "Het laatste Java-lek werd voor 100.000 dollar verkocht", aldus een analist van beveiligingsbedrijf RSA tegenover TechWeekEuropa. De onderzoeker maakt de vergelijking met een investering. "Ze kunnen er een paar miljoen dollar in een week of maand mee verdienen."

Onlangs verscheen er nog een bericht van IT-journalist Brian Krebs dat een onbekend Java-lek op een Russisch forum voor 5.000 dollar werd aangeboden. Uit latere gesprekken zou echter blijken dat de vraagprijs veel hoger lag. De markt voor de verkoop van zero day-lekken, kwetsbaarheden waarvoor nog geen patch beschikbaar is, zit dan ook in de lift.

Verkoop
"Je koopt een exploit en infecteert een hoop mensen. Je hoeft niet eens te weten wat je met deze geïnfecteerde machines wil doen, je verkoopt ze gewoon aan iemand die geinteresseerd is", zegt Idan Aharoni van RSA. "Als je een exploit voor 100.000 dollar koopt en je infecteert er computers mee, kun je die machines weer voor 500.000 dollar verkopen."

Eind vorig jaar liet de auteur van de BlackHole exploit-kit, een populair programma bij cybercriminelen om internetgebruikers te infecteren, weten dat een nieuw Java-lek 100.000 dollar waard zou zijn.