Китайцы готовы платить за уязвимости в Android и iOS от $100 000 – «Коммерсантъ»

Ряд российских компаний, специализирующихся на информационной безопасности, получил предложение продать компьютерные программы – эксплойты, которые используют уязвимости в операционных системах Android и iOS. Об этом пишет «Коммерсантъ» со ссылкой на их сотрудников. Предложение исходило от Роберта Невского, называющего себя торговым представителем ассоциации ShenZhen Computer Users Association (SZCUA), которая включает в себя крупные китайские IT-компании Kingdee International Software Group и China Greatwall Computer Shenzhen Co. Из информации в соцсети LinkedIn следует, что Роберт Невский работает в SZCUA с июня 2016 г. Некоторые его письма в IT-компании были отправлены в августе, другие — несколько дней назад.

«Мы заинтересованы в покупке уязвимостей нулевого дня (0day, не известные разработчикам софта). Нам интересны os/cms/app/software/modems/office/browsers. На данный момент особенно интересны IE/modem/Android/iOS», - приводит издание одно из сообщений Невского. Выплаты предполагаются в три этапа. «При первой сделке ценовой порог не превышает $100 000. (цена обсуждается)», - отмечается в сообщении. Это происходит еще до получения продукта. Вторая сделка — после получения и проверки, а третья — «по истечении двух-трех месяцев, чтобы убедиться, что эксплойт не был обнародован».

С аналогичными предложениями SZCUA обращалась к британским специалистам, сообщали они в середине 2015 г. «Я предполагаю, что SZCUA снабжает ими (эксплойтами) государственные хакерские команды либо продает их на черном рынке внутри Китая», - приводит издание мнение сооснователя хакерской конференции Steelcon Робина Вуда, получившего письмо от ассоциации. Он отправил в SZCUA уже опубликованный эксплойт, на что получил ответ, что это не 0day. Из этого Вуд заключил, что там «неплохо разбираются в теме». Представители SZCUA писали Вуду несколько раз за последние 18 месяцев, а «значит, это не просто какая-то группа, которая появилась и исчезнет через несколько недель».

В SZCUA отвергают предположения в ведении подобного бизнеса.

В мире действует несколько площадок, торгующих эксплойтами. В их числе — Zerodium и Zeronomicon. Аналогичная структура создана и в России бывшим сотрудником Росфинмониторинга Андреем Шороховым. За уязвимости в Android и Windows Phone Zerodium готов заплатить до $100 000, а в iOS — до $500 000.

Замдиректора по развитию бизнеса Positive Technologies Алексей Качалин предполагает, что эксплойты могут использоваться в составе систем негласного съема информации. «Часть купленного может идти для массовых систем, продаваемых на рынке спецсредств, вроде FinFisher, а наиболее интересные — припасены для собственных спецслужб и использованы в операциях, проводимых в интересах государства», — говорит он.