导语：Google 积极应对间谍软件威胁。
Google 威胁分析小组 (TAG) 在 2023 年发现的用于监视全球设备的0 day漏洞中，80% 都是商业间谍软件供应商 (CSV) 所为。他们跟踪了40 家商业间谍软件供应商， 发现过去 10 年间影响其产品的 72 个已知的野外0 day漏洞中有 35 个可归因于间谍软件供应商。
“这是一个下限估计，因为它只反映了已知的 0 day 漏洞。在考虑了 CSV 使用的尚未检测到的漏洞之后，针对 Google 产品的 CSV 开发的 0 day 漏洞的实际数量几乎肯定会更高。”谷歌相关人员表示。
这些间谍软件供应商根据客户（包括政府和私人组织）的指示，利用0 day漏洞来攻击记者、公众人物和政治人物。
Google 报告中突出显示的一些值得注意的 CSV 包括：
·Cy4Gate和RCS Lab：意大利公司，以 Android 和 iOS 的“Epeius”和“Hermit”间谍软件而闻名。前者于2022年收购后者，但独立运营。
·Intellexa：自 2019 年起由 Tal Dilian 领导的间谍软件公司联盟。它结合了 Cytrox 的“Predator”间谍软件和 WiSpear 的 WiFi 拦截工具等技术，提供集成的间谍解决方案。
·Negg Group：意大利 CSV，成立于 2013 年。它以“Skygofree”恶意软件和“VBiss”间谍软件而闻名，通过漏洞利用链针对移动设备。
·NSO 集团：以 Pegasus 间谍软件和其他复杂间谍工具而闻名的以色列公司。尽管涉及法律问题，但它仍在继续运营。
·Variston：西班牙 CSV，提供量身定制的安全解决方案。它与其他供应商合作进行0 day漏洞利用，并与 Heliconia 框架相关联，在阿联酋进行扩展。
这些供应商以数百万美元的价格出售使用其产品的许可证，允许客户使用未记录的一键或零点击漏洞来感染 Android 或 iOS 设备。
谷歌表示，CSV 在寻找 0 day 漏洞方面非常积极，在 2019 年至 2023 年间开发了至少 33 个针对未知漏洞的漏洞利用程序。
在Google详细报告的附录中，可以找到11个CSV使用的74个0 day的列表。其中，大多数是影响 Google Chrome (24) 和 Android (20) 的0 day漏洞，其次是 Apple iOS (16) 和 Windows (6)。
当白帽研究人员发现并修复被利用的漏洞时，CSV 通常会遭受重大的运营和财务损失，因为他们很难重建有效的替代感染途径。
谷歌表示：“每次谷歌和其他安全研究人员发现并披露新的错误，都会给 CSV 带来阻力并降低开发周期。”
“当我们发现并修补漏洞利用链中使用的漏洞时，它不仅可以保护用户，还可以阻止 CSV 履行与客户的协议，阻止他们获得报酬，并增加他们继续运营的成本。”
谷歌呼吁需对间谍软件行业采取更多行动，包括政府之间加强合作、引入严格的指导方针来管理监控技术的使用，以及与托管不合规供应商的国家进行外交努力。
Google 通过安全浏览、Gmail 安全、高级保护计划 (APP) 和 Google Play Protect 等解决方案，以及通过与技术社区公开共享威胁信息等举措，积极应对间谍软件威胁。
文章翻译自：https://www.bleepingcomputer.com/news/security/google-says-spyware-vendors-behind-most-zero-days-it-discovers/如若转载，请注明原文地址
