In Russland eröffnete eine Börse für den Kauf und Verkauf von Exploits

0day für alle Windows-Versionen kostet 90.000 US-Dollar.

^{Die Struktur des Archivs , das von den Servern des Unternehmens Hacking Team gestohlen wurde . Das Unternehmen verkaufte Exploits an die Spezialdienste Russlands und anderer Länder.}

Die erste Börse wurde in Russland eröffnet, wo Entwickler und Hacker offiziell Schwachstellen in Linux-, Windows-, OS X-, Tor-, iOS-, Android-, Chrome-, IE-Browsern usw. verkaufen können. Verkauf der Schwachstelle an einen interessierten Kunden und Wenn Sie es geheim halten, können Sie viel mehr verdienen als im Rahmen des offiziellen Programms zur Belohnung von Sicherheitslücken, das die Offenlegung von Informationen und die Veröffentlichung eines Patches vorsieht.

Die Ethik eines solchen Geschäfts bleibt zwar in Frage, da Regierungsbehörden diese Fehler nutzen, um Bürger und ausländische Geheimdienste auszuspionieren. Solche Aktivitäten sind jedoch nicht gesetzeswidrig.

Die russische Börse Expocod.com wurde von Andrei Shorokhov, einem ehemaligen Mitarbeiter von Rosfinmonitoring, gegründet, schreibt Kommersant. Regierungsbehörden und Unternehmen im Bereich der Informationssicherheit werden zu Käufern von Exploits. Vertreter des FSB haben die Börse bereits kontaktiert.

Zuvor fand der Verkauf neuer Exploits und 0-Tage-Bugs in beliebter Software auf dem Schwarzmarkt statt. Dann traten Staaten ins Spiel: Exploits wurden von Spezialdiensten, Geheimdiensten und Strafverfolgungsbehörden aufgekauft, die wirksame Trojaner und Hintertüren entwickeln mussten, um Kriminelle , ausländische Geheimdienste und Sabotage bei ausländischen Industrieunternehmen aufzuspüren . Regierungsbehörden bleiben jetzt die Hauptkunden.

Die russische Hackerszene war schon immer einer der Hauptlieferanten von frischen Exploits und 0day, aber der Handel wurde im Untergrund betrieben.


^{Grugq, ein südafrikanischer Hacker, der in Bangkok lebt und als unabhängiger High-End-Exploit-Broker arbeitet . Die Tasche enthält Geld für Vergleiche mit Lieferanten.}

Vor einigen Jahren erschienen die ersten Hackerfirmen der Welt, die sich offiziell auf den Verkauf von Exploits spezialisiert hatten. Das erste in der Öffentlichkeit war die französische Firma Vupen. Nachdem sie den Pwn2Own-Wettbewerb gewonnen hatte, zeigte sie im März 2012 einen gültigen Chrome-Exploit und weigerte sich, ihn an Google zu senden, um „für ihre Kunden zu sparen“. Das heißt, das Unternehmen lehnte freiwillig die Belohnung von 60.000 US-Dollar ab, die Google für das Öffnen eines Lochs in Chrome angeboten hatte. Es wurde klar, dass die „Kunden“ mehr bezahlen würden.


^{Die französische Gruppe Vupen verkauft seit 2012 Exploits und hat wiederholt Hacking-Wettbewerbe gewonnen: Foto 2014 bei CanSecWest}

Es ist hier nicht überraschend, denn auf dem Schwarzmarkt sollen die Kosten für Exploits bis zu 500.000 US-Dollar betragen. Nur für das Abonnieren des Newsfeeds über neue Fehler, die zum Verkauf angeboten werden, zahlten Vupen-Kunden 100.000 US-Dollar pro Jahr. Bei Bedarf können Kunden das Recht erwerben, ein neues Tool für zusätzliches Geld zu verwenden. Dies ist ein sehr wertvolles Produkt, das die verdeckte Überwachung von Verdächtigen, das Eindringen in das Computernetzwerk des Feindes usw. ermöglicht. Vupen wählte sorgfältig Kunden aus: Sie konnten nur aus NATO-, ANZUS- und ASEAN-Ländern stammen.

Heute sind Zerodium die bekanntesten globalen Exploit-Sites ., Zeronomicon, Zero Day Initiative und Mitnicks Absolute Zero-Day Exploit Exchange. Insgesamt gibt es mittlerweile weltweit etwa zwei Dutzend große Exploit-Sites. Das Volumen dieses Marktes wächst rasant.

Einige westliche Exploit-Händler erklären, dass sie Exploits nicht an Länder verkaufen, in denen Regierungen sie möglicherweise unangemessen einsetzen, um beispielsweise politische Gegner zu verfolgen. Daher arbeiten sie beispielsweise nicht mit russischen Strafverfolgungsbehörden zusammen.

Die russische Börse Expocod.com wird nicht so selektiv sein. Hier kann fast jeder Werkzeuge für Hacking und Spionage kaufen und verkaufen. „Wir behalten uns das Recht vor, zu entscheiden, wer und was verkauft werden soll - dies ist eine Frage der Ethik und des Ansehens. Natürlich werden wir einige Kämpfer für Somalias Unabhängigkeit, Nordkorea oder ähnliche Regime nicht an Heldentaten verkaufen, und warum nicht an alle anderen “, sagt Expocod-Gründer Andrei Shorokhov.

Laut Informationen auf der Website betragen die Kosten für einen Exploit in Adobe Flash bis zu 55.000 US-Dollar. Sicherheitslücken in verschiedenen Browsern können für 35-60.000 US-Dollar verkauft werden, ein Loch im Tor-Anonymisierer - 80.000 US-Dollar unter Windows, OS X, Linux usw. -

Zum Vergleich: Die 0-Tage-Sicherheitsanfälligkeit für alle Windows-Versionen wird jetzt für 90.000 US-Dollar auf dem Markt verkauft. Der Käufer wurde noch nicht gefunden, aber Experten glauben, dass es gibt.





Andrei Shorokhov war zuvor im Bereich Financial Intelligence in der Abteilung für Finanzermittlungen von Rosfinmonitoring tätig, wo er sich auf die Aufklärung von High-Tech-Verbrechen spezialisierte: „Ich bin der einzige Eigentümer von Expocod und der Endbegünstigte dieses Projekts. Hier gibt es keine geheimen Investoren. Ich investiere alle Mittel in die Entwicklung des Projekts.“ „Sagte er in einem Interview mit Kommersant. Das Expocod-Team besteht aus ehemaligen Hackern, die auf die "gute Seite" gewechselt sind, und Experten aus der Informationssicherheitsbranche. Wie Vupen wird das russische Unternehmen nicht nur Schwachstellen kaufen und weiterverkaufen, sondern auch selbst Exploits entwickeln.

Das Unternehmen erstellt außerdem eine Reihe von Test-Exploits, mit denen wir den Sicherheitsgrad jedes IT-Systems beurteilen können: „Beispielsweise können wir ABS-Bankgeschäfte auf Schwachstellen oder die Anfälligkeit eines Verteidigungsunternehmens für externe Bedrohungen testen“, sagte Sholokhov.

Um den staatlichen Interessen gerecht zu werden, müssen wir leider die Sicherheit von Software und Betriebssystemen opfern. Wenn Exploits unter geheimen Bedingungen auf dem Schwarzmarkt verkauft werden, sind Patches nicht in Kürze verfügbar. Die Nutzung von Exploits durch Regierungsbehörden ist "eine Notwendigkeit in der modernen Welt, um ihre strategischen Interessen im Bereich der Informationssicherheit zu wahren", erklärte Sholokhov.

Hacker (und Programmierer, Teilnehmer an Open Source-Projekten) können an der Börse Schwachstellen für Bitcoins verkaufen. Für Teilnehmer an Open Source-Projekten ist es verlockend, den im Code gefundenen Fehler nicht zu schließen, sondern die Informationen an der Börse zu verkaufen. Hoffen wir, dass sich dies nicht negativ auf die Qualität von Softwareprojekten auswirkt.

Source: https://habr.com/ru/post/de394867/