Operation Zero cerca vulnerabilità zero-day di Telegram. L’azienda russa offre fino a 4 milioni di dollari per un’intera catena di exploit che permette di prendere il controllo del dispositivo (Windows, Android e iOS). Le vulnerabilità acquistate verranno successivamente vendute al governo russo per eventuali attività di cyberspionaggio.
Bug di Telegram molto richiesti
Operation Zero ha pubblicato il listino prezzi su X. Per un exploit 1-click RCE (Remote Code Execution) di Telegram offre fino a 500.000 dollari. La cifra aumenta a 1,5 milioni di dollari per una vulnerabilità 0-click RCE. Un exploit full chain viene pagato fino a 4 milioni di dollari.
I termini 1-click e 0-click indicano un singolo o nessun clic da parte delle vittime. Per full chain si intende invece lo sfruttamento di più vulnerabilità che consentono di prendere il controllo dell’account Telegram, del sistema operativo e del dispositivo. Si tratta in pratica delle tradizionali attività di cyberspionaggio.
È probabile che il governo russo ha chiesto l’aiuto di Operation Zero per poter colpire specifici utenti Telegram, l’app di messaggistica più utilizzata in Russia e Ucraina (recentemente ha raggiunto un miliardo di utenti nel mondo).
Il governo ucraino ha vietato l’uso di Telegram sui dispositivi dei dipendenti, proprio per evitare lo spionaggio russo. Molti esperti di sicurezza hanno sconsigliato di usare l’app perché non offre la crittografia end-to-end per impostazione predefinita (come WhatsApp e Signal), ma viene attivata solo con la funzionalità delle chat segrete (one-to-one).
Le cifre offerte da Operation Zero sono comunque inferiori ai valori di mercato. Quasi sicuramente venderà gli exploit ad un prezzo doppio o triplo a più clienti. Una vulnerabilità zero-day di WhatsApp viene pagata oltre 8 milioni di dollari.
Ti potrebbe interessare
23 mar 2025