Google:今年以来已有33个零时差漏洞被开采,超越去年总和

Google本周透露,从今年1月到6月间,黑客已经开采了33个零时差漏洞,超越了去年一整年的22个。而在今年已被攻陷的零时差漏洞中,有4个是由Google威胁分析小组所发现。

该小组发现的4个零时差漏洞中,有两个涉及Chrome浏览器,分别是CVE-2021-21166与CVE-2021-30551,另一个是存在于IE中的CVE- 2021-33742,而CVE-2021-1879则与Safari的WebKit有关,而且开采这4个漏洞的是来自于3个不同的攻击行动。此外,Google相信其中有3个零时差漏洞攻击程序,是由同一个商业监控公司所开发,并将它们出售给两个政府。

本周与微软共同披露DevilsTongue间谍程序的Citizen Lab,则认为Google所指的商业监控公司,就是打造DevilsTongue的以色列企业Candiru。

值得注意的是,黑客所攻陷的零时差漏洞逐年增加,例如2018年只有十多个,2019年增加至20个,2020年为22个,但光是在今年上半年就有33个零时差漏洞被开采。

Google说明,被披露的零时差漏洞与被开采的零时差漏洞之间并无直接的关联,因为打造零时差攻击程序的黑客其实希望所开采的漏洞不要被发现,才能发挥攻击程序的最大潜力。

Google也归纳了零时差攻击漏洞激增的原因,例如可能不是攻击行动变多了,而是软件/平台供应商开始会在所修补的漏洞中,注明是否已被开采。

但也有可能是黑客使用越来越多的零时差攻击程序,因为当软件的安全保护更完善时,黑客就必须串联多个零时差漏洞才能达阵,再加上专门销售零时差攻击程序的黑客公司也变多了,以及组织安全意识的提高,也让黑客必须采用更先进的零时差攻击程序,才能成功入侵目标系统。

不过,Google认为,黑客转向零时差漏洞攻击可能是件好事,因为这代表当供应商与用户定期修补漏洞时,黑客已无法轻易开采这些已被修补的安全漏洞,而必须寻找成本更高的零时差漏洞。只不过,随着开采的难度增加,市场上也出现了新的商业模式,由商业黑客公司打造攻击程序来供客户使用。虽然Google并未指名道姓,但以色列的NSO Group与Candiru都是属于这类的公司。

发表评论