移动安全公司为旧漏洞提供现金到黑客

移动安全公司Zimperium推出了一个剥削采集计划，旨在为已打开的漏洞带来未公开的攻击代码。

支付旧漏洞可能似乎是浪费金钱，但有技术和商业论点是为了证明这样的收购系统合理，最终与利用与漏洞之间的差异有关。

漏洞是具有潜在安全影响的软件缺陷，而利用是利用该错误以实现特定恶意目标的实际代码，通常通过绕过方式绕过其他安全障碍。

在实践中，许多遗漏向供应商报告的漏洞不伴随工作漏洞。显示编程错误可能导致内存损坏通常足以让供应商了解其潜在的影响 - 例如，任意代码执行。

如果软件供应商了解错误并提交修补它，则花费时间才能编写一个完整的漏洞，这也没有点钟，这些漏洞还会绕过SELINUX，DEP和ASLR等沙盒或OS安全机制，以便证明恶意代码执行。

但是，对于所谓的武器化的爆炸，这不是这种情况，这些武器化的漏洞将被销售给恶意黑客或政府机构进行大量资金。这些需要完全正常和可靠，在大多数情况下，目标是用户对用户没有辩护的无斑封漏洞，这就是他们“重新成为零日利用的原因。

但是，当利用失去零天地位时会发生什么，因为他们使用的漏洞是独立发现的，并由供应商修补？攻击代码是否成为公众？不总是。

多年来，有没有办法知道供应商修复的零点爆炸有多少，并且私下留在这一天。或者有多少漏洞编写者悬停在以前的零日漏洞中希望他们仍然可能对旧设备有一些价值。

值得注意的是，并非每一个黑客都是一个错误的猎人，而不是每个虫子都是漏洞的作家。这些是需要不同技能组的动作。有许多成功的错误猎人，Don“T有必要的编程技巧，以便在各种操作系统版本上写出可靠的全面开发链。

“安全研究和剥削是我们内心的，Zimperium对这一点导致了什么，”Zimperium的创始人和CTO Zuk Avraham在周二的博客文章中表示。“我们感谢剥削的艺术，并欣赏酷炫的技巧，以便编写利用开发，绕过ASLR / KASLR，实现持久性等。我们谦卑地认为我们可以从任何漏洞利用中学到我们的客户提供更好的安全性和合作伙伴。“

该公司的移动安全技术由运营商和手机供应商使用，即使不再支持的旧移动设备也需要提供保护，并且不再接收安全更新，因此需要提供保护。它在这样的设备上，旧的“n天”漏洞的攻击，因为Zimperium调用它们，仍然可以对攻击者的价值。

“对我们来说，支持旧设备是帮助更新政策失败的消费者的关键决定，”Avraham说。

该公司将获得远程和当地利用漏洞的漏洞利用，以及可导致信息披露的错误。漏洞利用可以从最新版本瞄准任何版本的Android或iOS。

Zimperium没有披露不同类型的利用计划，它计划收购，因为每个人将被特别委员会杂文进行评估。但是，该公司已为该计划分配了150万美元。

利用开发人员甚至可以分析移动OS制造商的每月补丁，为修补漏洞编写工作漏洞，并将其提交给程序，因为工作漏洞的存在可能会驱动修补程序在生态系统中采用补丁采用。

“多个Zimperium手机联盟（Zha）合作伙伴向我们解释而言，没有剥削性证明，难以说服安全团队为一个完整的补丁周期进行分配所需的资源，即使是已知问题，”Avraham表示。

Zimperium将利用漏洞利用来增强其Z9移动保护引擎，该引擎使用机器学习来检测和阻止网络，本地和应用攻击。它还将与Zha分享利用，其中包括来自30多个全球设备制造商和运营商的安全团队成员。

除非他们的作者特别询问公司，否则Zimperium还计划在三个月后公开发布漏洞。

“我们的目标是帮助社区，渗透测试仪，流动性和IT管理员更好地评估其安全性并保护其设备，”Avraham表示。