0day市场竞争激烈，商家Aglaya天价追逐漏洞

承包商Aglaya——高价收0day，再提价转卖

Aglaya是一个鲜为人知的承包商，正在为Windows操作系统、微软、安卓、无线网络攻击、乃至监控和数据采集网络（SCADA）、关键基础设施如电网和核电站等系统收售0day漏洞。

据称，这家公司以150万美元的价格宣传Windows 各个版本（XP、7、8、2000、2012）和尚不存在的Windows 9和2014的漏洞。一个能够控制安卓手机，破解无线网络的0day售价150万美元。一个远程代码执行漏洞售价50万美元。而适用于所有西门子硬件SCADA的漏洞是最贵的，售价200万美元（人民币1300多万）。

0day交易——竞争激烈的市场

兜售0day漏洞在近几年已经成为一项有利可图的业务。去年，一个著名的0day漏洞卖家建立了一家新的公司，从安全研究员处购买漏洞及成果后，转售给政府赚取溢价。这家公司名为Zerodium，它引发了一场轩然大波——鼓励研究员开发出一系列允许攻击者远程破解iPhone的0day，并承诺给予100万美元的奖励。几周后，据Zerodium称，有一群未知的开发者认领了这份漏洞酬金。

0day市场是一个竞争激烈的市场。科技公司提供赏金，试图鼓励和奖励研究者，获取新鲜的研究成果。像Zerodium 和 Exodus Intelligence这样的公司，出高价购买0day漏洞，期望能以更高的价钱将成果转售。几周前，当苹果公司终于推出了自己的漏洞悬赏计划时，Exodus Intelligence则以苹果公司赏金数额的两倍来收购iOS 漏洞。

Aglaya目录可追溯到2014年，这家公司是否还在销售0day尚不明确。Aglaya的CEO和创始人Ankur Srivastava告诉Motherboard网站，他们公司已经不再销售黑客产品，转而销售防御性安全产品了。

前阵子，Motherboard曝光，Aglaya在宣传其他更可疑的服务，比如扰乱互联网搜索结果，利用像Facebook和Twitter这样的社交网络来操纵实施的武器化信息服务。

Srivastava对此事回应道：“公司并没有这种业务，都是些误解。我将尽力说服你，我们并不是这个市场中的一部分，只是无意中在一个错误的贸易平台上接受了这样一个市场活动”。

黑客专家的批判——漏洞实用性受质疑

Robert Lee，安全公司Dragos的创始人，同时也是基础设施领域的黑客专家，说Agalaya所谓的西门子漏洞出售说明这家公司并不能真正理解关键的基础设施，因为一个SCADA的0day需求很小。Lee告诉Motherboard：“这显然是他们在一个自己不熟悉的科技及相关领域粗略的尝试”

安全专家，前美国网络司令部成员Ryan Duff也赞同此观点，怀疑这家公司的可信度。Duff说最大的危险信号是他们声称要将0day上传到Virus Total­­­­­­­­­­­­­­­（一个研究人员可以检测恶意软件的公共储存库）中。Duff解释道，那会使0day的有用性消失，存在暴露的风险。“没有一家出售这些类型产品的公司会这样做，他们声称要提供的报酬价格很荒谬”。

曾经也在情报部门工作的Lee也批评了Aglaya：“销售ICS的使用权是没有合法理由的，这肯定不是合法的拦截”，Lee说，“在我看来这家公司在许多方面都是卑劣的”。

无论这0day目录是否过时，一件事情很明确——全世界的公司都竞相为政府提供入侵电脑与手机的方法。随着更加复杂的加密方式的广泛使用，窃听等传统的警方调查手段已然过时，政府将需要破解更多东西。

 

 

 

本文由漏洞银行（BUGBANK.cn)小编  Misaki 翻译，源文译自 motherboard.vice.com。

作者：Misaki
链接：http://www.bugbank.cn/news/detail/57e0ce1049eaa4df1311feea.html
来源：漏洞银行
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。