0-day эксплойты для популярных приложений подорожали на миллионы долларов. В чем причина?

Согласно последним исследованиям , стоимость эксплойтов нулевого дня для популярных мессенджеров сегодня измеряется миллионами долларов. Одна из главных причин — эволюция механизмов безопасности в мобильных ОС.

Исследователям удалось проанализировать утекшие документы со статистикой за последние несколько лет. Выяснилось, что, например, в 2021 году за эксплойты для 0-day уязвимостей в WhatsApp кто-то был готов заплатить до $8 млн, чтобы получить удаленный доступ к перепискам цели.

Одна из компаний предлагала Zero-Click эксплойт для уязвимости удаленного выполнения кода (RCE) по относительно демократичной цене — примерно $1,7 млн.

Эта RCE работала на Android версий 9-11 (выпущенных в 2020) и была связана с ошибкой в инструменте «image rendering library» (библиотека для рендеринга изображений).

В 2020 и 2021 годах WhatsApp устранил три уязвимости в механизмах обработки изображений — CVE-2020-1890, CVE-2020-1910 и CVE-2021-24041. Однако неясно, остались ли в продаже эксплойты для других дефектов.

Рынок инструментов для кибершпионажа постоянно расширяется. Причем заинтересованы в доступе к новым лазейкам не только брокеры 0-day эксплойтов, но и агенты разведки наряду с правоохранительными органами. Иногда для слежки достаточно одного эксплойта, но в некоторых случаях хакеры используют целый комплекс уязвимостей, чтобы взломать систему.

Например, в сентябре были обнаружены три 0-day уязвимости, с помощью которых злоумышленники устанавливали шпионское ПО Cytrox Predator на устройствах Apple . Еще множество подобных багов в iOS применялось для слежки за оппозиционерами и журналистами.