Китайские компании объявили охоту на уязвимое ПО

28 Октябрь 2016

Крупнейшие китайские IT-компании рассылают объявления фирмам, занимающимся информационной безопасностью, с предложением купить у них уязвимое программное обеспечение. Особую важность для них представляют 0day-уязвимости в мобильных платформах и браузерах.

Самыми приоритетными для таких компаний являются баги в мобильных операционных системах Android и iOS, а также самых популярных веб-обозревателях, к которым относится Google Chrome, Internet Explorer, Mozilla Firefox, Microsoft Edge и Safari. Но расщедриться они могут также и за уязвимости в некоторых других продуктах, которые обрели большую популярность в конкретных регионах.

Как стало известно журналистам издания «Коммерсантъ». Скупщиками уязвимостей в программном обеспечении являются лица, которые представляют ассоциацию компаний ShenZhen Computer Users Association. По крайней мере таковыми они представляются. Эта ассоциация включает в себя такие крупнейшие китайские IT-фирмы, как China Greatwall Computer Shenzhen Co и Kingdee International Software Group.

Некоторые российские компании, занимающиеся вопросами безопасности в Интернете, уже получили несколько предложений о скупке данных об уязвимом ПО. Все эти предложения поступали от Роберта Невского. Он представился как торговый представитель ShenZhen Computer Users Association в Российской Федерации.

Невский вел переписку с представителями нескольких российских компаний. Для него особый интерес представляли уязвимости нулевого дня в веб-обозревателе Internet Explorer, который на сегодняшний день все еще входит в тройку самых популярных браузеров, причем занимает 2-место. Также представитель SZCUA интересовался эксплоитами в мобильных платформах и уязвимостями в интернет-модемах.

Стоимость информации по каждой конкретной ошибке могла быть разной. Цена варьировалась в зависимости от продукта, в котором обнаружена уязвимость и сложности самого эксплоита. Максимальная цена в рамках первой сделки может достигать 100 тысяч долларов. Вся эта сумма перечисляется продавцу не сразу. Выплаты производятся в несколько этапов. Итоговую сумму продавец сможет получить только через несколько месяцев после продажи данных. Как пояснил Невский, на такие меры необходимо было пойти во избежание продажи информации другим покупателям.

В прошлом году аналогичная активность со стороны SZCUA проявлялась к британским исследователям по информационной безопасности.

По словам Робина Вуда, который является соучредителем хакерской конференции SteelCon, ассоциация SZCUA может скупать эксплоиты с целью их дальнейшей перепродажи на внутреннем черном рынке Китая. Существует также мнение, что подобные действия спонсируются правительственными хакерами.

В самой же SZCUA эту всю информацию полностью отрицают. В официальных комментариях значится, что ассоциация не ведет подобную деятельность и никогда не занималась скупкой уязвимостей.