在利用0day漏洞去展開網(wǎng)絡(luò)攻擊，中國不是唯一的“惡魔”。根據(jù)路透社的報告，在一個蓬勃發(fā)展的由黑客和安全公司開發(fā)和銷售入侵工具的灰色市場，美國政府是“0day”漏洞最大的買家。

[[72612]]

一些安全專家質(zhì)疑五角大樓的報告。在報告里，對由美國發(fā)起的網(wǎng)絡(luò)間諜行為只字未提。但是，美國每年都會花費數(shù)十億美金來“打造網(wǎng)絡(luò)防御工事和發(fā)展越來越復(fù)雜的網(wǎng)絡(luò)戰(zhàn)武器”。國家安全局將軍Keith Alexander在國會聽證會上說，“美國正在建立十?dāng)?shù)個進攻團隊，如果必要，這些團隊會對其他國家的網(wǎng)絡(luò)系統(tǒng)展開攻擊。”路透社補充到，“美國國家安全局和國防部在獲取商業(yè)系統(tǒng)漏洞的工作上投入了巨大的成本，不斷嘗試?yán)眠@些漏洞的方式。”

一名不愿透露姓名與美政府簽訂防護合同的人員稱：“我的工作就是拿著一個存有25個0day漏洞的USB key，時刻準(zhǔn)備著干活。”路透社稱，“私營公司雇傭了專業(yè)技術(shù)人員和開發(fā)人員來發(fā)現(xiàn)漏洞，開發(fā)利用漏洞的代碼，之后拿到市場上去賣。這些0day漏洞起價5萬美金。影響漏洞價格的因素包括漏洞所利用的商業(yè)系統(tǒng)的裝機量以及漏洞能在多長時間內(nèi)不被公開。”

廠商在一些秘密的場合向執(zhí)法和情報部門提供了各種各樣的間諜工具。Vupen是一家向政府提供0day工具的著名公司。最近，該公司派遣12名致力于某項攻擊技術(shù)的研究人員參加了“Advanced Heap Manipulation in Windows 8”會議。美國政府也有數(shù)名人員參會，至于這項技術(shù)是否被用來入侵其它國家政府系統(tǒng)就不得而知了。

ReVuln是一家新加入的玩家。他們關(guān)注于對工業(yè)控制系統(tǒng)漏洞的發(fā)現(xiàn)和利用。

“當(dāng)我們問他們一旦發(fā)起攻擊會造成大量的破壞甚至人員傷亡的時候，”路透社稱，“他們說，這事別問我們，問那些導(dǎo)致漏洞存在的生產(chǎn)廠商。我們不賣武器，我們賣的是信息”。

路透社對美國政府這種對漏洞選擇利用而不是公開它們的行為發(fā)出警告，稱可能導(dǎo)致“不可預(yù)料的后果”。美國政府這么做很可能會“搬起石頭砸自己的腳”。路透社舉了個例子。Duqu是美國政府專門針對伊朗開發(fā)的惡意程序。Duqu之后被網(wǎng)絡(luò)犯罪分子拷貝，開發(fā)了漏洞利用包(Blackhole和Cool)。根據(jù)F-Secure的報告，盡管微軟已經(jīng)發(fā)布了補丁，黑客仍舊入侵了美國1.6%的計算機，在美國之外，這個比例可能更高。

路透社提到了一份大型承包商的(漏洞)產(chǎn)品目錄。里面包含把iPhone變成竊聽設(shè)備的軟件，以及可以通過安裝到打印機等設(shè)備上并通過無線傳送到臨近計算機系統(tǒng)里的惡意軟件。

一些批評家稱，美國在“震網(wǎng)”事件之后再沒有資格指責(zé)別人了。McAee稱美國是全球僵尸網(wǎng)絡(luò)的老窩。PressTV報道，德國電信透露對其網(wǎng)絡(luò)的攻擊主要來自美國。

路透社的報告–“U.S. cyberwar strategy stokes fear of blowback”很有意思，值得一讀。