名为Sp3ns3r的泄露论坛用户于2024年6月16日（星期日）止午 6：50发帖，声称其掌握安卓操作系统的某个RCE，该漏洞利用为零点击，威力无比，但该泄露者并在漏洞论坛上并没有给出报价。跟帖者表示是不是需要500万美元。短短的贴文只透露了有限的信息，该漏洞可用于安卓11、12、13、14版本，是零点击利用，Paylaod仅仅是MMS，应该指就是一条条多媒体短信，效果是能够实现对安卓手机的完全控制。留下了联系方式 https://t.me/CodeBreachLab/117（这个Telegeam频道上列出的信息与泄露论坛上一致，仅仅多了一项报价，500万美元）和https://t.me/HawkCBL，仅仅是Telegram的联系通道。
![500万美元！天价安卓0day漏洞暗网开卖]( "500万美元！天价安卓0day漏洞暗网开卖")
该Telegeam频道为CodeBreach实验室所有，看似一个0day漏洞研究和出售实体，目前仅有199个订阅者。
![500万美元！天价安卓0day漏洞暗网开卖]( "500万美元！天价安卓0day漏洞暗网开卖")
这种天价，即使漏洞通杀所有安卓手机，想想能卖给谁呢？谁会为此买单呢？是不是想想就脑袋疼。
两个月前，4月16日，也是这个CodeBreach实验室，还以200万美元叫卖过一个iMessage“零日”漏洞。
![500万美元！天价安卓0day漏洞暗网开卖]( "500万美元！天价安卓0day漏洞暗网开卖")
当时，也有网络安全专家称这可能是个假广告，并没有可信证据表明有买家达成了这个漏洞交易。
![500万美元！天价安卓0day漏洞暗网开卖]( "500万美元！天价安卓0day漏洞暗网开卖")
6月12日，CodeBreach Lab还发布了一条更新的漏洞出售消息，可能是之前imessages RCE的升级，报价400万美元！
![500万美元！天价安卓0day漏洞暗网开卖]( "500万美元！天价安卓0day漏洞暗网开卖")
据CodeBreach Lab自我介绍 ，它是一个匿名的Red Team组织，他们开发漏洞并将其出售给政府和私人机构。他们不会公开出售其漏洞，尽管许多公司愿意购买其公开出售的漏洞，但出于安全原因，他们不会这样做。如需购买漏洞，请联系他们，如有任何疑问，请发邮件至@cblabsupport。
1、https://breachforums.st/Thread-SELLING-0day-Android-RCE-Exploit-ZeroClick
2、https://t.me/CodeBreachLab
3、https://www.ccn.com/news/crypto/trust-wallet-imessenger-alert-security-failings-ios-app-vulnerabilities/
原文始发于微信公众号（CNCERT国家工程研究中心）：500万美元！天价安卓0day漏洞暗网开卖
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
点赞
https://cn-sec.com/archives/2856548.html
复制链接
复制链接
-
左青龙
- 微信扫一扫
-
-
右白虎
- 微信扫一扫
-
评论