Insgesamt zwölf Sicherheitsexperten unter Führung von SANS-Institute-Präsident Stephen Northcutt waren an der Erstellung der Liste beteiligt, die unterstreicht, dass bekannte Angriffsvektoren auch in diesem Jahr von höchster Bedeutung sein dürften.

Platz eins auf der Liste nehmen immer raffiniertere Website-Angriffe auf Sicherheitslücken im Browser und Browser-Plug-Ins ein. Speziell Plug-Ins wie Flash oder QuickTime sieht die Experten-Runde als lohnende Angriffsziele, da diese beim Browser-Update nicht automatisch gepatcht werden.

Dies stimmt mit der Warnung von Secunia-Sicherheitsexperten überein, dass über 95 Prozent aller Nutzer durch nicht gepatchte Software eigentlich behobenen Sicherheitslücken ausgesetzt seien. SANS warnt besonders vor Angriffsmethoden, die eine grössere Zahl bekannter Sicherheitslücken betreffen und so ihre Chancen verbessern, Systeme tatsächlich zu treffen.

Verbesserte Botnetze

An zweiter Stelle reiht die SANS-Gruppe verbesserte Botnetze. Auch andere Sicherheitsexperten warnen vor der Wahrscheinlichkeit neuer Botnetz-Massenangriffe.

Immerhin ist bekannt, dass Behörden diese spezielle Art der Bedrohung sehr ernst nehmen und etwa das FBI auch gross angelegte Aktionen gegen Cyberkriminelle in internationaler Zusammenarbeit durchgeführt hat und weiter durchführt.

Die Top drei der SANS-Liste rundet gross angelegte Cyber-Spionage ab. Speziell China gilt als Nationalstaat, der hinter solchen Aktionen stehen könne. Ende 2007 hatte eine Warnung des britischen MI5 vor chinesischen Hackern für Aufsehen gesorgt.

Bedrohungen gegen Mobiltelefone

Auf Platz vier der SANS-Prognose finden sich Bedrohungen gegen Mobiltelefone, insbesondere das iPhone und Googles Android. Dieser Einschätzung dürften sich nicht alle Experten anschliessen, speziell beim Sicherheitsanbieter G Data wurde noch Ende November 2007 davon gesprochen, die Virengefahr für Handys sei «eine grosse Luftblase».

Auch Voice-over-IP-Angebote könnten laut SANS massiv angegriffen werden. Das an fünfter Stelle gereihte Risiko betrifft speziell Unternehmen und Organisationen: Die Expertengruppe warnt vor Insider-Angriffen.

Unterschätztes Cross-Site-Scripting

Weiters folgen in der SANS-Reihung Identitätsdiebstahl durch langfristig aktive Bots sowie zunehmend bösartige Spyware.

Erst an achter Stelle folgt die Ausnutzung von Sicherheitslücken in Web-Anwendungen. Zwar ist das SANS Institute der Ansicht, dass entsprechende Angriffsvektoren wie unter anderem Cross-Site-Scripting (XSS) bisher wenig Bedeutung hatten, da Cyberkriminelle auf anderen Wegen leichter zu Erfolgen kamen. Im Jahr 2008 könnten entsprechende Methoden aber einen Aufschwung erleben. Speziell für XSS-Angriffe sieht das Secunia-Sicherheitsexperte Thomas Kristensen ähnlich.

Gefälschte Jobangebote

Geschicktere soziale Angriffe reiht das SANS Institute an die neunte Stelle. Neben Phishing mit besserem Kontext - etwa gefälschte Jobangebote, die von bekannten Jobbörsen zu kommen scheinen, wird hier speziell «Event-Phishing» rund um wichtige Ereignisse angeführt. So könnten etwa E-Mails mit Inhalten, die vermeintlich die US-Präsidentenwahl betreffen, grossen Erfolg als Methode zur Erstellung von Botnetzen haben.

Am Ende der Vorhersagen-Liste finden sich Angriffe über die Vertriebskette, wo Geräte mit Malware ausgeliefert werden. Im Jahr 2007 gab es solch einen Vorfall etwa bei einem USB-Stick aus dem Hause Sony.

(bert/pte)