一家收購並販售零日漏洞（即未被軟體開發者所知的軟體缺陷）的公司，現在正提供給研究人員 2000 萬美元的懸賞，以獲得可用於破解 iPhone 和安卓裝置的工具。Operation Zero 在其 Telegram 帳戶和 X（前稱 Twitter）的官方帳戶上宣布，他們將把這些平臺的零日價格提高十倍，從 20 萬美元增加到 2000 萬美元。該公司表示：“透過提高懸賞金、提供具有競爭性的合同計劃和獎勵，我們鼓勵開發團隊與我們的平臺合作。”
Operation Zero 成立於 2021 年，總部位於俄羅斯，該公司在其官方網站上表示“我們的客戶只有俄羅斯的私人和政府機構”。當被問及他們只向非北約國家出售的原因時，Operation Zero 的 CEO Sergey Zelenyuk 拒絕回答。“除了明顯的原因外，沒有其他原因，”他說。Zelenyuk 還表示 Operation Zero 當前提供的懸賞可能是暫時的，這反映出市場的一個特定時期和破解 iOS 和安卓的難度。“具體專案的價格形成在很大程度上取決於零日市場上產品的可用性，”Zelenyuk 在一封郵件中說道。“當前用於手機的全鏈漏洞是最昂貴的產品，主要由政府機構使用。當一個角色需要一個產品時，有時他們願意支付盡可能多的費用，以便在其他方得到它之前擁有它。”
不同於傳統的懸賞平臺
至少在過去十年中，世界各地的各種公司一直向願意將漏洞和破解技術販售給他們的安全研究人員支付懸賞金。與 Hacker One 或 Bugcrowd 等傳統漏洞獎勵平臺不同，像 Operation Zero 這樣的公司不會通知受影響廠商，而是將其出售給政府客戶。這本質上是一個灰色市場，價格波動，客戶的身份通常是祕密的。但是還有一些公開的價格列表，例如 Operation Zero 發布的價格列表。另一家成立於 2015 年的公司 Zerodium，根據其網站提供價高達 250 萬美元，用於破解 Android 裝置而無需與目標進行任何互動（例如目標不必點選釣魚連結）。對於同型別的漏洞鏈，Zerodium 提供高達 200 萬美元的獎金。而位於阿聯酋的競爭對手 Crowdfense 在 Android 和 iOS 上提供的相同秏（漏洞鏈）的懸賞金高達 300 萬美元。談到 Zerodium 和 Crowdfense 提供的懸賞金，Zelenyuk 表示他不相信它們會降至如此之低。“Zerodium 的價格表已經過時，但這並不意味著該公司以如此低的價格購買零日。他們只是沒有必要更新它們，零日業務的執行良好，並不受此影響，”Zelenyuk 說道。
零日市場的現狀
零日市場在很大程度上是無法受到監管的。但在一些國家，公司可能需要從其所在的政府獲得出口許可證。這個過程實際上包括請求許可向某些國家銷售產品，因為這些國家可能受到約束。這創造了一個受政治影響的分裂市場。例如，中國最近透過的一項法律要求安全研究人員首先通知中國政府有關漏洞，然後再通知軟體開發商。專家表示這部法律實際上意味著中國正在壟斷零日市場，以便將其用於情報目的。“這項新法規可能使中國政府的某些部門能夠囤積報告的漏洞，以便將其用於武器化，”微軟在去年的一份報告中表示。您對零日市場有更多訊息嗎？我們很想聽到您的聲音。
您可以透過 Signal 加密聯絡 Lorenzo Franceschi-Bicchierai +1 917 257 1382，也可以透過 Telegram，Keybase 和 Wire @lorenzofb 或者傳送電子郵件至 lorenzo 與 TechCrunch 取得聯系。
