يقدم البائع الروسي الصفر يوم الصفر ما يصل إلى 4 ملايين دولار لاستغلال Telegram

أعلنت شركة Zero ، وهي شركة تحصل على أيام الصفر وبيعها على وجه الحصر للحكومة الروسية والشركات الروسية المحلية ، يوم الخميس أنها تبحث عن مآثر لبرقية الرسائل الشهيرة ، وهي على استعداد لتقديم ما يصل إلى 4 ملايين دولار لهم.

يقدم وسيط الاستغلال ما يصل إلى 500،000 دولار لاستغلال تنفيذ رمز عن بُعد “بنقرة واحدة” ؛ ما يصل إلى 1.5 مليون دولار لاستغلال RCE بنقرة صفر ؛ وما يصل إلى 4 ملايين دولار مقابل “سلسلة كاملة” من مآثر ، والتي يُفترض أنها تشير إلى سلسلة من الأخطاء التي تسمح للمتسللين بالانتقال من الوصول إلى برقية الهدف إلى نظام التشغيل الكامل أو جهازهم.

تقوم شركات ليوم صفر مثل عملية Zero بتطوير أو الحصول على ثغرات الأمن في أنظمة التشغيل والتطبيقات الشهيرة ثم إعادة بيعها بسعر أعلى. لكي تركز الشركة على Telegram ، بالنظر إلى أن تطبيق المراسلة يحظى بشعبية خاصة لدى المستخدمين في كل من روسيا وأوكرانيا.

بالنظر إلى عملاء الوسيطين للاستغلال-بشكل رئيسي الحكومة الروسية-يقدم السعر العام لمحة نادرة عن الأولويات في سوق يوم الصفر ، وخاصةً في روسيا وسوق الأمن السيبراني في كثير من الأحيان في السرية.

ليس من غير المألوف استغلال الوسطاء للإعلان عن أنهم يبحثون عن الأخطاء في تطبيقات أو أنظمة محددة عندما يعرفون أن هناك طلبًا في الوقت المناسب. هذا يعني أنه من الممكن أن تكون الحكومة الروسية قد أخبرت عملية Zero أنها تبحث عن حشرات Telegram ، مما دفع الوسيط إلى نشر ما هو إعلان بشكل أساسي ، وتقدم دفعات أعلى لأنها تعرف بدورها ، يمكن أن تتقاضى الحكومة الروسية أكثر من أجلهم.

لم يستجب سيرجي زيلينيوك ، الرئيس التنفيذي لشركة Operation Zero ، لطلب TechCrunch للتعليق.

تعد أيام الصفر نقاطًا ضعفًا غير معروفة للبرمجيات أو صانعي الأجهزة ، مما يجعلها ذات قيمة خاصة في الصناعة المتزايدة للوسطاء الاستغلال-وأولئك الذين يرغبون في شرائها-لأنها تمنح المتسللين فرصة أفضل لاستغلال التكنولوجيا المستهدفة دون أن يتمكن الصانع أو الهدف من فعل الكثير حيال ذلك.

يعد RCE أحد أكثر أنواع العيوب قيمة لأنه يسمح للمتسللين بالتحكم عن بُعد في تطبيق أو نظام تشغيل. لا تتطلب مآثر النقر الصفري أي تفاعل من الهدف ، بدلاً من هجوم التصيد ، على سبيل المثال ، مما يجعل هذه الأخطاء أكثر قيمة.

إن النقر الصفر ، RCE Zero-Day هو في الأساس فئة الاستغلال الأكثر قيمة.

استهداف البرقية

تأتي المكافأة الجديدة لعلاج Telegram Bugs في الوقت الذي حظرت فيه الحكومة الأوكرانية استخدام Telegram على أجهزة الأفراد الحكوميين والعسكريين العام الماضي ، خوفًا من أن يكونوا عرضة بشكل خاص للمتسللين الحكوميين الروسيين.

لقد حذر خبراء الأمن والخصوصية مرارًا وتكرارًا من أنه لا ينبغي اعتبار البرقية آمنة مثل منافسين مثل WhatsApp و Signal. لأحدهم ، لا تستخدم Telegram التشفير من طرف إلى طرف افتراضيًا ، وحتى عندما يقوم المستخدمون بتمكينه ، لا يستخدم التطبيق التشفير المعروف والمهّش من طرف إلى طرف ، مما يؤدي إلى خبراء التشفير مثل Matthew Green لتحذير من أن “الغالبية العظمى من محادثات التلغرام الفردية-وربما تحد من مجموعة فردية-على الأرجح على خادم TeLegram.”

قال الشخص الذي لديه معرفة بسوق الاستغلال أن أسعار العملية Zero للبرقية “منخفضة بعض الشيء” ، ولكن قد يكون ذلك لأن عملية Zero تتوقع أن تتقاضى المزيد ، ربما مرتين أو ثلاثة أضعاف ، عندما تقوم بإعادة بيع المآثر.

وقال الشخص ، الذي طلب عدم الكشف عن هويته لأنهم لم يكونوا مخولين بالتحدث إلى الصحافة ، إن عملية Zero يمكنها أيضًا بيعها عدة مرات لعملاء مختلفين ، ويمكنها أيضًا دفع أسعار أقل اعتمادًا على بعض المعايير.

“لا أعتقد أنهم سيدفعون بالفعل كامل [price]. قالوا: “سيكون هناك بعض البار الذي لا يتضح فيه ، وسيقومون فقط بالدفع الجزئي ،” هذا عمل سيء إذا سألتني ، ولكن مع كون الجميع مجهول الهوية ، لا يوجد أي حافز حقيقي لعدم F – K على كاتب الاستغلال “.

قال شخص آخر يعمل في صناعة اليوم الصفر إن الأسعار المعلنة عن طريق التشغيل Zero ليست “بعنف”. لكنهم قالوا أيضًا إن هذا يعتمد على ما إذا كانت هناك عوامل مثل التفرد ، وما إذا كان هذا السعر يأخذ في الاعتبار حقيقة أن عملية Zero ستقوم بإعادة تطوير مآثر داخليًا ، أو إعادة بيعها كوسيط.

ارتفعت أسعار أيام الصفر عمومًا في السنوات القليلة الماضية حيث أصبحت التطبيقات والمنصات أكثر صعوبة في الاختراق. كما ذكرت TechCrunch في عام 2023 ، فإن يوم صفر لـ WhatsApp قد يكلف ما يصل إلى 8 ملايين دولار في ذلك الوقت ، وهو سعر يأخذ أيضًا في الاعتبار مدى شعبية التطبيق.

تصدرت Operation Zero عناوين الصحف من قبل لتقديم 20 مليون دولار لأدوات الاختراق التي من شأنها أن تسمح للمتسللين بالتحكم الكامل في أجهزة iOS و Android. تقدم الشركة حاليًا 2.5 مليون دولار فقط لتلك الأنواع من الأخطاء.