В России заработала биржа по продаже уязвимостей в популярном ПО

Команда из бывших хакеров и разработчиков запустила по адресу expoсod.com биржу по покупке эксплойтов в популярном программном обеспечении (ПО) — таком, как ОС Windows, iOS, дистрибутивах Linux, браузерах, Adobe Flash и других. Согласно информации на сайте компании, перепродавать купленные эксплойты биржа намерена компаниям в сфере информационной безопасности (ИБ), государственным структурам и, предположительно, спецслужбам. Основателем и конечным бенефициаром компании, по данным «Коммерсанта», является Андрей Шорохов, ранее работавший, по его словам, в Росфинмониторинге.

Эксплойтами называются программы, которые используют уязвимости в ПО для проведения атаки на вычислительную систему. Согласно информации на сайте Expocod, за уязвимости в операционных системах компания готова платить $35–$80 тыс., в анонимайзере Tor — $80 тыс., в браузерах — $35–60 тыс., в Adobe Flash — $55 тыс. Оплата может осуществляться банковскими переводами или биткоинами.

Основатель проекта Андрей Шорохов сообщил изданию, что является конечным бенефициаром компании. По его словам, в команду Expocod входят бывшие хакеры, которые перешли на «светлую сторону», а также специалисты по ИБ. Копания также намерена не только перепродавать, но и самостоятельно искать и разрабатывать уязвимости, а также разрабатывать собственное ПО с набором тестировочных эксплойтов для оценки степеней защищенности IT-систем. По его словам, соглашение о подобном тестировании уже достигнуты с одним из российских банков из топ-10.

Шорохов также отметил, что в планы компании не входит информирование создателей ПО об информированности в их софте. «Мы оставляем за собой право выбирать, кому и что продавать, — это вопрос этики и репутации. Безусловно, каким-то борцам за независимость Сомали, КНДР или подобным им режимам мы продавать эксплойты не будем, а всем остальным — почему бы и нет», — заявил Шорохов. При этом, по его словам, использование эксплойтов госорганами — это «необходимость в современном мире для отстаивания своих стратегических интересов в области информационной безопасности», а разглашение уязвимостей в софте не является противозаконным: «Не надо путать хакеров, которые применяют уязвимости на практике, с исследователями, которые занимаются теоретической стороной уязвимостей».