零日漏洞灰產(chǎn)“野蠻生長(zhǎng)”：入侵 iPhone 的破解工具采購價(jià)飆升至 500-700 萬美元

　　可破解安卓和 iPhone 的手機(jī)零日漏洞值多少錢?答案是數(shù)百萬美元，這也催生了零日漏洞灰色產(chǎn)業(yè)鏈。

　　和 Zerodium 公司類似，總部位于阿聯(lián)酋的 Crowdfense 公司于 2019 年斥資 1000 萬美元啟動(dòng)漏洞購買計(jì)劃之后，近日再次宣布啟動(dòng) Exploit Acquisition Program，斥資 3000 萬美元(IT之家備注：當(dāng)前約 2.17 億元人民幣)購買各種手機(jī)、軟件等主流產(chǎn)品的零日漏洞。

　　目前零日漏洞交易屬于灰色地帶，Crowdfense 公司從專家或者黑客手中購買零日漏洞，這些漏洞可以被用于攻擊、破解設(shè)備和應(yīng)用的安全防線，通常情況下這些公司會(huì)和政府機(jī)構(gòu)合作用于執(zhí)法過程。

　　Crowdfense 公司在 2019 年的活動(dòng)中最高出價(jià)為 300 萬美元，而在近日公布的零日漏洞采購價(jià)格表中，1 萬美元到 900 萬美元不等，最高愿意為 SMS / MMS 全鏈零點(diǎn)擊的零日漏洞支付 900 萬美元(當(dāng)前約 6516 萬元人民幣)。

　　根據(jù)價(jià)目表，針對(duì) iOS 的零點(diǎn)擊攻擊鏈漏洞采購價(jià)格為 500-700 萬美元;針對(duì)安卓的零點(diǎn)擊攻擊鏈漏洞采購價(jià)格為 500 萬美元;針對(duì) iOS 的 RCE + SBX 漏洞為 350 萬美元;針對(duì) Chrome 瀏覽器的 RCE + SBX 漏洞為 200-300 萬美元。

　　不過，也有業(yè)內(nèi)人士指出，Crowdfense 給出的價(jià)格其實(shí)并非市場(chǎng)最高水平。在更加隱秘的交易中，一些零日漏洞的價(jià)格甚至完全超出預(yù)期。

　　一家名為 Operation Zero 的俄羅斯公司去年表示，愿意支付高達(dá) 2000 萬美元收購用于入侵 iPhone 和 Android 設(shè)備的工具。