搜索

[2466] 2015-11-19_地下黑市0day市场价格清单遭曝光

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-16
2015-11-19_地下黑市0day市场价格清单遭曝光 地 下 黑 市 0 d a y 市 场 价 格 清 单 遭 曝 光 E 安 全   2 0 1 5 - 1 1 - 1 9 机 密 黑 客 技 术 ， 或 者 俗 称 为 “ 零 日 漏 洞 ” ， 早 已 作 为 一 种 产 品 在 黑 市 当 中 交 易 流 通 。 这 类 技 术 往 往 包 含 着 企 业 当 中 某 些 软 件 的 安 全 漏 洞 信 息 或 者 窥 探 敏 感 隐 私 信 息 的 途 径 。 而 对 那 些 专 门 从 中 获 利 的 中 间 商 而 言 ， 零 日 漏 洞 只 是 一 种 稀 松 平 常 的 可 交 易 商 品 ， 他 们 甚 至 会 为 这 类 黑 客 技 术 编 写 一 套 完 整 的 价 格 清 单 。 就 在 本 周 三 ， 零 日 漏 洞 中 间 商 、 初 创 企 业 Z e r o d i u m 公 司 居 然 破 天 荒 地 公 布 了 这 样 一 份 不 同 类 型 数 字 化 入 侵 技 术 与 软 件 目 标 的 价 格 清 单 。 这 份 清 单 是 该 公 司 从 某 个 黑 客 组 织 手 中 所 买 到 ， 并 随 后 通 过 订 阅 服 务 的 方 式 将 其 转 售 给 客 户 — — 其 中 还 包 括 多 个 政 府 机 构 。 这 份 清 单 列 出 了 面 向 数 十 种 不 同 应 用 程 序 及 操 作 系 统 的 具 体 黑 客 攻 击 方 法 ， 每 一 项 都 提 供 极 为 详 细 的 实 现 方 式 。 其 详 尽 程 度 在 黑 客 技 术 交 易 黑 市 当 中 都 是 极 为 罕 见 的 。 “ 零 日 漏 洞 业 务 的 首 要 原 则 就 是 绝 对 不 要 公 开 讨 论 价 格 ， ” Z e r o d i u m 公 司 C E O   C h a o u k i   B e k r a r 在 一 条 写 给 《 连 线 杂 志 》 的 消 息 当 中 指 出 。 “ 所 以 我 想 ， 我 们 应 该 公 布 自 己 买 到 的 这 份 价 格 清 单 。 ” “ 零 日 漏 洞 业 务 的 首 要 原 则 就 是 绝 对 不 要 公 开 讨 论 价 格 。 ” 一 次 黑 客 攻 击 活 动 有 可 能 以 远 程 方 式 彻 底 侵 入 受 害 者 的 计 算 机 设 备 并 掌 控 其 S a f a r i 或 者 I E 浏 览 器 ， 而 完 成 这 项 任 务 的 黑 客 能 够 获 得 5 万 美 元 的 收 益 。 谷 歌 C h r o m e 浏 览 器 的 攻 击 难 度 更 高 一 些 ， Z e r o d i u m 公 司 给 出 的 对 应 价 位 为 8 万 美 元 。 以 远 程 方 式 突 破 A n d r o i d 或 者 W i n d o w s   P h o n e 设 备 的 价 格 更 高 ， 买 家 需 要 为 此 支 付 1 0 万 美 元 。 而 i O S 攻 击 则 难 度 最 大 ， 高 达 5 0 万 美 元 的 开 价 也 成 为 此 次 曝 光 的 清 单 当 中 最 昂 贵 的 选 项 。 下 面 来 看 由 Z e r o d i u m 公 司 提 供 的 完 整 清 单 图 表 ：
Z e r o d i u m 公 司 给 出 的 不 同 零 日 漏 洞 黑 客 技 术 完 整 价 格 清 单 。 Z e r o d i u m 公 司 明 确 警 告 称 ， 任 由 由 Z e r o d i u m 公 司 买 下 并 转 售 的 零 日 漏 洞 必 须 接 受 其 监 控 ; 企 业 黑 客 不 得 将 其 转 售 给 其 他 买 家 或 者 将 其 提 交 给 相 关 软 件 供 应 商 — — 因 为 后 者 可 能 会 发 布 补 丁 以 保 护 用 户 并 导 致 攻 击 手 段 失 效 。 该 公 司 还 规 定 ， 其 只 会 付 费 购 买 那 些 “ 原 创 的 、 独 家 的 且 此 前 未 被 报 告 过 的 零 日 漏 洞 信 息 。 ” 换 言 之 ， Z e r o d i u m 公 司 会 严 格 保 证 始 终 向 保 密 客 户 提 供 新 鲜 出 炉 的 黑 客 技 术 。 该 公 司 还 表 示 能 够 为 包 括 “ 政 府 机 构 在 内 的 各 类 买 家 提 供 指 定 且 有 针 对 性 的 网 络 安 全 服 务 ， ” 并 利 用 这 些 信 息 帮 助 企 业 客 户 提 前 对 潜 在 攻 击 进 行 防 御 。 Z e r o d i u m 公 司 创 始 人 B e k r a r 指 出 ， Z e r o d i u m 的 客 户 们 会 以 每 年 至 少 5 0 万 美 元 的 价 格 购 买 订 阅 服 务 ， 旨 在 获 取 对 这 些 安 全 漏 洞 的 访 问 权 限 。 虽 然 不 会 透 露 任 何 特 定 客 户 的 名 称 ， 但 B e k r a r 所 效 力 的 上 一 家 初 创 企 业 法 国 V u p e n 公 司 曾 公 开 表 示 ， 其 曾 经 为 包 括 北 约 内 部 以 及 “ 北 约 盟 友 ” 国 家 的 多 个 政 府 机 关 提 供 零 日 漏 洞 信 息 。 新 闻 调 查 网 站 M u c k r o c k 于 2 0 1 3 年 曾 通 过 信 息 自 由 申 请 了 解 到 ， V u p e r 公 司 的 客 户 甚 至 包 括 美 国 国 安 局 。 公 开 零 日 漏 洞 价 格 清 单 对 黑 客 技 术 市 场 上 的 交 易 活 动 有 何 影 响 目 前 尚 不 明 确 。 而 且 这 实 际 上 有 可 能 鼓 励 更 多 技 术 人 员 将 自 己 发 现 的 黑 客 入 侵 方 案 在 地 下 交 易 平 台 上 销 售 ； 独 立 安 全 研 究 人 员 长 期 以 来 一 直 抱 怨 缺 少 充 足 的 零 日 漏 洞 资 源 交 易 渠 道 ， 这 使 得 他 们 很 难 拿 到 一 个 相 对 “ 公 平 ” 的 价 码 ， 前 美 国 国 安 局 黑 客 C h a r l i e   M i l l e r 在 2 0 0 7 年 发 表 的 一 篇 论 文 当 中 指 出 。 B e k r a r 于 今 年 7 月 建 立 的 Z e r o d i u m 公 司 则 显 然 成 了 这 群 独 立 安 全 研 究 人 员 眼 中 的 最 佳 摆 摊 地 点 。 “ 有 了 Z e r o d i u m ， 安 全 研 究 人 员 终 于 能 够 依 靠 自 己 的 辛 勤 工 作 与 发 现 换 取 回 报 了 ， ” 他 写 道 。 公 开 交 易 秘 密 入 侵 技 术 同 时 也 使 得 B e k r a r 成 为 隐 私 保 护 社 区 与 软 件 开 发 商 的 炮 轰 目 标 ， 他 们 认 为 Z e r o d i u m 这 样 的 组 织 使 得 依 靠 安 全 漏 洞 牟 利 变 得 更 加 轻 松 。 谷 歌 公 司 的 安 全 人 员 J u s t i n   S c h u h 甚 至 一 度 将 他 称 为 “ 挑 战 伦 理 道 德 的 机 会 主 义 者 ” 。 美 国 公 民 自 由 联 盟 首 席 技 术 人 员 C h r i s   S o g h o i a n 也 将 B e k r a r 建 立 的 V u p e n 称 为 “ 现 代 背 景 下 的 死 亡 商 人 ” ， 出 售 的 则 是 “ 网 络 战 争 中 的 子 弹 。 ” 即 使 只 是 单 纯 为 了 进 行 营 销 ， 这 份 价 格 清 单 也 有 可 能 透 露 出 一 些 与 特 定 软 件 安 全 漏 洞 相 关 的 有 价 值 信 息 。 在 S o g h o i a n 看 来 ， B e k r a r 之 所 以 决 定 公 布 这 份 零 日 漏 洞 价 格 清 单 ， 其 目 的 绝 不 是 为 了 增 加 零 日 信 息 交 易 市 场 的 透 明 度 ， 而 完 全 属 于 精 明 的 营 销 手 段 。 “ C h a o u k i 的 V u p e n 以 及 如 今 的 Z e r o d i u m 都 在 滥 用 如 今 的 自 由 宣 传 权 利 。 他 希 望 能 够 通 过 这 种 免 费 发 布 的 方 式 吸 引 客 户 ， ” S o g h o i a n 表 示 。 而 其 它 规 模 更 大 且 成 熟 度 更 高 的 防 御 项 目 承 包 商 则 用 不 着 采 用 这 种 方 式 来 销 售 零 日 信 息 ， S o g h o i a n 补 充 称 。 “ R a y t h e o n 与 M a n T e c h 这 样 的 企 业 压 根 不 会 考 虑 在 网 络 上 发 布 什 么 价 格 清 单 … … 美 国 国 安 局 很 清 楚 这 些 厂 商 开 出 的 具 体 价 码 。 ” B e k r a r 并 没 有 对 《 连 线 杂 志 》 所 提 出 的 他 为 何 选 择 公 布 这 份 价 格 清 单 做 出 回 应 。 不 过 即 使 只 是 单 纯 为 了 进 行 营 销 ， 这 份 价
格 清 单 也 有 可 能 透 露 出 一 些 与 特 定 软 件 安 全 漏 洞 相 关 的 有 价 值 信 息 。 （ 截 至 目 前 ， 我 亲 眼 见 到 的 其 它 零 日 漏 洞 价 目 表 就 只 有 2 0 1 2 年 某 次 黑 客 社 区 聚 会 上 流 出 的 一 份 非 官 方 版 本 。 ） 根 据 Z e r o d i u m 公 司 的 这 份 清 单 ， 面 向 D r u p a l 与 W o r d P r e s s 通 用 W e b 发 布 软 件 的 黑 客 技 术 要 价 约 为 5 0 0 0 美 元 。 而 更 令 人 惊 讶 的 是 ， 一 直 受 到 匿 名 人 士 高 度 关 注 的 T o r B r o w s e r 的 相 关 漏 洞 仅 要 价 3 0 0 0 0 美 元 。 而 就 在 这 份 清 单 曝 光 的 几 天 之 后 ， T o r 方 面 宣 称 美 国 联 邦 调 查 局 已 经 向 卡 内 基 梅 隆 大 学 支 付 了 1 0 0 万 美 元 ， 要 求 想 办 法 攻 克 负 责 实 现 T o r 匿 名 保 护 机 制 且 基 于 服 务 器 的 “ 隐 藏 服 务 ” 功 能 。 不 过 B e k r a r 在 一 封 写 给 《 连 线 杂 志 》 的 邮 件 当 中 强 调 称 ， Z e r o d i u m 所 提 到 的 T o r 入 侵 技 术 仅 作 用 于 T o r B r o w s e r 当 中 源 自 火 狐 浏 览 器 的 安 全 漏 洞 ， 而 非 T o r 网 络 本 身 存 在 缺 陷 。 B e k r a r 指 出 ， 这 “ 可 能 会 威 胁 到 合 法 T o r 用 户 的 安 全 与 隐 私 。 ” 作 为 攻 击 活 动 中 开 价 最 高 的 目 标 平 台 ， “ 身 家 ” 高 达 5 0 万 美 元 的 i P h o n e 与 i P a d 攻 击 手 段 仍 然 不 完 整 — — 具 体 来 讲 ， Z e r o d i u m 实 际 上 是 为 上 个 月 公 开 的 某 项 存 在 缺 陷 的 黑 客 技 术 开 出 了 一 半 酬 金 。 关 于 这 一 点 ， B e k r a r 如 今 强 调 称 ， 作 为 “ 限 时 挑 战 任 务 ” ， 该 公 司 公 开 承 诺 将 为 能 够 在 今 年 1 1 月 之 前 证 明 自 身 成 功 突 破 i O S 设 备 并 通 过 其 S a f a r i 或 者 C h r o m e 浏 览 器 访 问 恶 意 网 页 的 黑 客 支 付 1 0 0 万 美 元 。 然 而 即 使 价 码 缩 水 一 半 ， i O S 的 入 侵 身 份 仍 然 达 到 了 Z e r o d i u m 这 份 价 格 表 上 第 二 高 项 目 的 五 倍 。 苹 果 公 司 的 用 户 可 能 会 对 这 种 状 况 感 到 沮 丧 ， 毕 竟 向 来 以 安 全 著 称 的 卓 越 移 动 平 台 仍 然 存 在 着 被 攻 陷 的 可 能 — — 不 过 换 个 角 度 来 讲 ， 至 少 入 侵 苹 果 设 备 会 带 来 极 为 高 昂 的 成 本 ， 这 可 以 看 成 是 件 好 事 。 本 文 由 E 安 全 翻 译   转 载 请 注 明 来 源 “ E 安 全 安 全 ” 欢 迎 大 家 访 问 E 安 全 门 户 站 点 w w w . e a s y a q . c o m 请 关 注   E 安 全 安 全   微 信 公 众 号 点 击 “ 查 看 原 文 查 看 原 文 ” 获 取 本 文 的 相 关 链 接 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理