Китайские ИТ-компании предложили российским специалистам продать уязвимости в Android и iOS за $100 тысяч Статьи редакции

Несколько российских компаний, работающих в сфере информационной безопасности, получили предложение продать ранее неизвестные уязвимости в операционных системах Android и iOS, а также браузерах и другом ПО. Заказчики назвали себя представителями китайской ассоциации ИТ-компаний ShenZhen Computer Users Association (SZCUA). Об этом пишет «Коммерсантъ» со ссылкой на собеседников в пяти российских фирмах.

На официальном сайте SZCUA говорится, что организация создана в 2007 году. В неё входят китайские компании Kingdee International Software Group, разрабатывающая ERP-системы, и China Greatwall Computer Shenzhen Co, которая производит компьютеры, принтеры, LCD-дисплеи и так далее.

По словам собеседников издания, к их компаниям обратился человек по имени Роберт Невский, назвавшийся представителем SZCUA в России. Он сообщил, что хочет купить эксплойты, использующие уязвимости «нулевого дня» (0day). Это уязвимости, о наличии которых ещё не знает компания-разработчик программного обеспечения.

Цена зависит от продукта. При первой сделке ценовой порог не превышает $100 тысяч. Выплаты в три этапа, первый — до получения продукта, второй — после получения и соответствующей проверки и третий — по истечении двух-трёх месяцев, чтобы убедиться, что эксплойт не был обнародован.

— Роберт Невский, называющий себя представителем SZCUA в России

В середине 2015 года несколько британских специалистов в сфере информационной безопасности сообщали, что SZCUA обращалась к ним с подобным предложением, напоминает «Коммерсантъ». Сооснователь хакерской конференции Steelcon Робин Вуд, получивший аналогичное письмо, в разговоре с изданием предположил, что SZCUA снабжает полученными данными «государственные хакерские команды, либо продаёт их на чёрном рынке внутри Китая».

В SZCUA заявили, что «ассоциация не ведёт бизнес и никогда не делала таких вещей». На вопросы «Коммерсанта» о том, почему предложения о продаже рассылались с почты в домене ассоциации, и о работе Роберта Невского в организации не ответили. Сам он на вопросы газеты не ответил.

0
3 комментария
ave ego

- найти 0day
- продать его китайским спецслужбам, получить гонорар
- дождаться его использования и одобрения партией, получить гонорар
- сообщить производителю, получить гонорар
- продать его быстро другим спецслужбам, получить гонорар
- PROFIT!

Ответить
Развернуть ветку
Yuriy Belonozhkin

Ахаха, то есть мяу

Ответить
Развернуть ветку
Иван Боченков

Все правильно. Зачем сообщать и чинить уязвимость если можно сосать бабло или информацию с этих дыр

Ответить
Развернуть ветку
Читать все 3 комментария
null