报告标题：N-Day Exploit 市场的兴起和衰落
报告概述了网络犯罪地下组织中 N-Day Exploit 市场的变化。曾经是零日和 N-Day 漏洞利用供应商的唯一领域的地下论坛市场已转向替代货币化方法。报告分析了漏洞利用市场过去更有利可图，但近年来销售已经转移到独家地点甚至暗网。此外，漏洞赏金计划支付的增加使得 N-Day 漏洞利用的地下市场变得更加稀缺，再加上市场的波动性以及最近对新供应商缺乏信任，这使得漏洞利用市场发生了变化。访问即服务已成为新的热门商品，提供了一种更有利可图的替代方案，供应商可以要求比 N-Day 漏洞利用更高的价格，并且论坛用户的审查更少。许多采用这种模式的卖家特别提到了哪些漏洞被用来危害受害者实体。访问即服务具有漏洞利用的优势，但在这种情况下，买方已经完成了所有艰苦的工作。这导致对访问即服务供应商的需求比对传统漏洞利用卖家的需求更大，从而导致 N-Day 漏洞利用市场萎缩。然而，这并不是说零日和 N-Day 漏洞利用市场已经死了。尽管存在竞争，但对地下开发的需求仍然很大。零日漏洞利用仍然需要高价，而即使是 N-Day 漏洞利用仍然可以以较低的价格兜售。根据地下论坛列表，用户愿意为请求的 N-Day 攻击支付的典型价格为 2,000 美元，而潜在买家愿意为 0-day 攻击支付超过 10,000 美元。尽管零日攻击的成本可能高达数千美元，但网络犯罪分子可以找到便宜的 N-Day 攻击价格——例如 40 美元的 JavaScript 攻击和 100 美元的 Microsoft Word 攻击——甚至是偶尔在英语地下论坛上分享的免费漏洞。值得注意的是，俄语地下论坛的价格通常高于英语论坛。漏洞和漏洞利用的预期寿命可能很长——在某些情况下甚至超过 10 年。虽然 54% 在地下出售的漏洞利用程序是在过去两年中发布的，但我们发现在地下网络犯罪分子出售的最古老的漏洞利用程序是针对 2012 年披露的漏洞的漏洞利用程序。这项研究涵盖了 N-Day Exploit 的网络犯罪地下市场。
