Der Sicherheitsanbieter Zerodium hat die Preise für den Ankauf von Sicherheitslücken in weit verbreiteter Software erhöht. Die höchste Belohnung gibt es weiterhin für einen dauerhaften Remote Jailbreak für Apples Mobilbetriebssystem iOS, der sich ohne Interaktion mit einem Nutzer installieren lässt. Statt 1,5 Millionen zahlt das US-Startup für eine solche Anfälligkeit nun 2 Millionen Dollar. Wird für die Installation eines Remote Jailbreak eine Nutzerinteraktion benötigt, lassen sich nun 1,5 Millionen Dollar verdienen, 500.000 Dollar mehr als zuvor.
Das Geschäftsmodell des 2015 gegründeten Unternehmens umfasst den Ankauf von Zero-Day-Lücken und Exploits, die es dann an andere Unternehmen, Regierungsbehörden oder Strafverfolger weiterverkauft. Deren Interesse an Details zu öffentlich nicht bekannten Sicherheitslücken ist unter Umständen sehr groß. Sie können ihnen helfen, sich selbst gegen Angriffe zu schützen. Strafverfolger oder Geheimdienste wiederum setzen sie bei Ermittlungen oder Aktionen gegen Dritte ein. Ein Remote Jailbreak für iOS würde es beispielsweise erlauben, die Sicherheitsfunktionen von iPhones und iPads zu umgehen und deren Verschlüsselung aufzuheben.
Händler wie Zerodium sind jedoch umstritten. Von ihnen erworbene Sicherheitslücken landen in der Regel nämlich nicht in den Händen der Softwareanbieter – sie werden also nicht gepatcht. Auch der Einsatz solcher Anfälligkeiten durch Strafverfolger oder Geheimdienste ist umstritten. Allerdings zahlen Firmen wie Zerodium oftmals deutlich höhere Prämien als die Softwareanbieter selbst oder unabhängige Bug-Bounty-Programme wie die Zero Day Initiative.
Die dritthöchste Belohnung im Mobilbereich zahlt Zerodium für eine Remotecodeausführung über WhatsApp, Apple iMessage oder SMS/MMS. Hier ist nun eine Million Dollar ausgelobt (plus 500.000 Dollar). 500.000 Dollar gibt es für Schwachstellen, die es erlauben, Schadcode außerhalb der Sandbox von Chrome für Android oder Safari für iOS auszuführen. Der Preis für die Umgehung der PIN-, Passwort- oder Touch-ID-Sperre eines Android- oder iOS-Smartphones erhöhte sich indes von 15.000 auf 100.000 Dollar.
Im Desktop- und Server-Bereich bringt eine Remotecodeausführung unter Windows ohne Interaktion mit einem Nutzer, beispielsweise durch SMB- oder RDP-Pakete, ebenfalls eine Millionen Dollar ein. Eine entsprechende Lücke in Chrome für Windows wird nun mit 500.000 statt 250.000 Dollar belohnt. Mit Schwachstellen in PHP, OpenSSL, Exchange Server und Outlook lassen sich nun bis zu 250.000 Dollar verdienen.
Das Unternehmen verspricht zudem, alle eingereichten Sicherheitslücken innerhalb einer Woche zu prüfen. Unmittelbar danach sollen auch die Belohnungen ausgezahlt werden, per Überweisung oder in Bitcoin oder Monero, möglicherweise jedoch in mehreren Teilbeträgen.
Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!
Erstmals liegen Preise für Verbraucher vor. Sie zahlen weniger als Geschäftskunden. Dafür beschränkt Microsoft den…
Die Entwickler arbeiten noch an weiteren „Verfeinerungen“. Windows Insider erhalten nun wohl eine erste Vorschau…
Laut Bitkom-Umfrage werden in jedem dritten Unternehmen in Deutschland private KI-Zugänge genutzt. Tendenz steigend.
2023 erlitten neun von zehn Unternehmen in der DACH-Region Umsatzverluste und Kurseinbrüche in Folge von…
Der Report „Pacific Rim“ von Sophos beschreibt Katz-und-Maus-Spiel aus Angriffs- und Verteidigungsoperationen mit staatlich unterstützten…
NVIDIA DGX SuperPOD soll voraussichtlich Mitte 2025 in Betrieb genommen und für Forschungsberechnungen genutzt werden.