Zeroday-exploits die een voormalige directeur van een Amerikaans defensiebedrijf stal en verkocht aan een handelaar gaven toegang tot miljoenen computers, aldus de Amerikaanse openbaar aanklager. De exploits hadden volgens de aanklacht wereldwijd voor allerlei doeleinden kunnen worden gebruikt, van ransomware en fraude tot diefstal en spionage.

Met de verkoop van de gestolen exploits aan een Russische reseller zou de 39-jarige Australische verdachte 1,3 miljoen dollar hebben verdiend. De verkochte exploits en informatie hadden een waarde van 35 miljoen dollar, aldus de aanklager. De reseller waar de exploits aan werden verkocht zou allerlei klanten hebben, waaronder de Russische overheid, liet de aanklager eerder weten.

Eind vorig jaar bekende de directeur dat hij van 2022 tot en met 2025 zijn toegang tot het netwerk van het defensiebedrijf gebruikte om de exploits te stelen en daarna te verkopen. In totaal zouden er acht "cyber exploit components" zijn verkocht aan de reseller. Voor welke kwetsbaarheden deze exploits waren bedoeld is niet bekendgemaakt. Wel stelde de aanklager dat ze exclusief waren bedoeld voor de Amerikaanse overheid en geselecteerde bondgenoten.

"De exploits die de gedaagde verkocht. waaronder zeroday-exploits, zijn zeer krachtig en hadden de Russische handelaar en diens klanten toegang tot miljoenen computers en apparaten wereldwijd kunnen geven, waaronder in de Verenigde Staten", aldus de aanklager in een nieuw document (pdf). De verdachte wordt waarschijnlijk eind deze maand veroordeeld. De aanklager heeft een gevangenisstraf van negen jaar geëist, het betalen van een schadevergoeding van 35 miljoen dollar en een boete van 250.000 dollar.

In een brief stelt de verdachte zijn acties te betreuren en schrijft dat die het gevolg waren van 'een ongelukkige periode van buitengewoon slecht beoordelingsvermogen, verergerd door ernstige werkstress en uitputting, die bijdroegen aan roekeloos, schadelijk en vooral verkeerd gedrag' (pdf).