作者：WisFree

预估稿费：200RMB

投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿

传送门

【安全预警】一波未平一波又起！影子经纪人宣称每月将定期出售NSA黑客工具

写在前面的话

想必大家对这个名为Shadow Brokers（影子经纪人）的黑客组织早就已经有所耳闻了，他们在最近这段时间里放出了很多的漏洞以及相应的漏洞利用工具，而更可怕的是，我们谁也不知道他们手中到底还藏有多少目前没有被公开的漏洞。这些漏洞已经对整个互联网社区产生了极其严重的影响，其中的一个就是臭名昭著的勒索软件WannaCry了。除此之外，还有很多漏洞也都已经成为网络犯罪分子实施非法入侵的利器。

众筹项目背景

目前很多安全研究人员已经对影子经纪人泄漏出来的数据进行了分析以验证其真实性，并根据漏洞情况评估了基础设施可能受影响的程度。不过幸运的是，这些漏洞利用技术所带来的影响我们现在都有办法去缓解，但前提是给影子经纪人支付一定的费用。

目前The Shadow Brokers泄漏出来的安全漏洞以及漏洞利用工具针对的是以下平台：

Cisco

Juniper

Solaris

Microsoft Windows

Linux

就在前不久，影子经纪人正式对外宣布称他们将会提供一个“月度漏洞披露计划”服务，而这项服务的订阅费为100个ZCASH币。目前这个费用换算成英镑的话大约为17688.29英镑，但具体的费用会根据加密货币的价值（汇率）发生变化。这也就意味着，如果我们支付了影子经纪人所要求的月服务费，我们就能够第一时间拿到最新泄漏的漏洞信息。因此在这个众筹活动中，我们希望能够集中整个安全社区的可用资源，这样不仅能够尽量避免类似WannaCry这样的事件再次发生，而且这对于那些资金不够的白帽社区来说也是一次订阅最新月度披露数据的机会。

简而言之，我们的目标就是从利益相关的第三方筹到足够的资金来订阅影子经纪人每个月披露的漏洞信息。我们希望通过自己的努力完成以下几个任务：

1.筹到足够的资金以购买100个ZCASH币；

2.从正规合法的虚拟货币交易所购买100个ZCASH币；

3.通过电子邮件地址将100个ZCASH币转账给影子经纪人；

4.访问影子经纪人每个月公布的泄漏数据，并将其与所有资助者分享；

5.对泄漏数据进行分析，确定披露数据的影响程度；

根据影子经纪人所提供的月度披露服务条款，每个月他们给出的漏洞内容可能与下列几种项目有关：

1.Web浏览器、路由器和手机漏洞，以及相应的漏洞利用工具；

2. NSA Ops Disk中的最新资料，包括Windows 10的漏洞以及相应的漏洞利用技术；

3. 被入侵网络中的数据，包括SWIFT（环球同业银行金融电讯协会）或核武器计划；

我们为什么要这样做？

相信大家也已经明白了我们的意图，作为一个以缓解漏洞危害为目标的项目，最重要的是能够通知所有受漏洞影响的各方，迅速修复犯罪分子手中所掌握的漏洞，并评估黑客工具的能力。当我们获得并评估了任何潜在的0 day漏洞信息之后，我们会在第一时间将所有内容上报给相应厂商。需要声明的是，我们对攻击基础设施没有任何的兴趣，在拿到影子经纪人泄漏的最新数据之后，我们会确保对这些数据进行尽职尽责的调查和分析。

实际上，很多政府手中都掌握有很多种漏洞利用技术以及入侵攻击技术，他们往往会利用这些技术来针对他国发动网络攻击，但他们其实心里也清楚这句在安全界内广泛流传的一句话：“如果一个系统中存在漏洞，那么所有的系统都会受其影响”。计算机系统中的互联互通性和某种程度上的无序性意味着任何漏洞都将有可能成为网络犯罪分子用于窃取数据的切入点，如果我们无法朝着“实现全球互联网安全”以及“全民信息共享”这两个目标前进，那么最终受影响的还是无辜的民众。最好的情况就是让开发这些漏洞利用工具的情报机构自己来修复相应的漏洞，但这显然不现实。因此，我们只能集中安全社区的人力资源和物力资源，购买这些最新的漏洞信息，然后将它们披露给相关厂商。

当然了，最坏的情况就是这些漏洞信息和利用技术最终落到了犯罪分子的手里，并被用于下一步网络攻击之中。

筹款没达到目标怎么办？

如果我们最终没能达到最初的目标，那么我们会将所有收到的加密货币捐赠给一个针对人权和数字版权保护的慈善组织基金会。如果平台允许的话，Patreon的用户也可以申请退还捐赠。如果你愿意花钱去参加那种漏洞拍卖活动的话，那么捐一点钱给慈善机构你应该不会太反感吧？

风险和挑战

影子经纪人手中可能没有太多额外的数据了，他们很有可能是在虚张声势，这也有可能是一次明目张胆的欺诈活动。但是我们可以从公告MS17-010中看到，他们不仅很有可能拥有更多强大的攻击工具，而且还有可能拥有最新版iOS的越狱技术以及先进的Android端恶意软件。但这一切都只是我们的猜测，事实到底如何现在我们也无从得知。我们之前对影子经纪人泄漏的所有数据进行了分析，而结论就是这个黑客组织绝对是一个可信的威胁，因此我们认为他们这项月度披露服务的可信度非常高。

除此之外，如果我们无法在认购时间内凑够ZCASH币的话，那么我们可能就会失去订阅资格。因此我们故意只给大家留了一点点时间来进行捐赠，以确保我们能够有资格进行服务订阅。

整个信息安全社区目前仍然在对影子经纪人之前披露的数据和漏洞进行分析，分析过程需要消耗大量的时间、精力和资源，更何况这些工具和文档都采取了反取证和反逆向技术，这也使得针对它们的分析变得难上加难。我们给大家的承诺就是透明和公开，我们会给大家提供足够丰富的信息，并尽我们所能给安全研究人员提供帮助。

关于数据的问题

我们将会给所有资助了该项目的人提供最新的泄漏数据，但我们团队会先对这些数据进行审查，然后再将其分发给安全研究人员来进行进一步的分析，我们不想因为过早地披露漏洞数据而导致公共基础设施受到攻击，而这样可以让相关厂商在第一时间了解到漏洞信息并推送更新补丁。请你不用担心，所有资助了该项目的人最终都会拿到这些数据。

项目发起人

这个项目是由@Hacker Fantasitc和@x0rz这两位鼎鼎大名的网络安全研究专家发起的，他们曾分析过多个国家级黑客工具，你们可以直接在Twitter上与他们交流。除此之外，这个项目也得到了很多安全圈中声望极高的黑客支持，他们会通过各种方法给我们提供技术支持。但是你可别忘了，你也是这个项目中的一员。

如果你想保持匿名性，那么你也可以通过比特币来进行捐助：

比特币钱包地址：1Crowd7HcL54mfHdkgwBDaCP8hegirqra2

项目资助地址：【点我访问】

由于法律原因，众筹影子经纪人Exploits的计划取消。

传送门

【安全预警】一波未平一波又起！影子经纪人宣称每月将定期出售NSA黑客工具