Zerodium es una empresa que se dedica a comprar y vender exploits para hackear dispositivos al mejor postor. Sus clientes pasan por agencias de gobierno y grandes empresas




Existe un mercado subterráneo de herramientas para hackear a cualquiera. La Deep Web está llena de mercados negros donde se pueden encargar hacks dirigidos a personas o empresas en particular. Hay lugares en los que se comparten exploits y descubrimientos informáticos de toda índole. Hasta ahora ese espacio estaba reservado sólo a crackers, como no podía ser de otra manera. Ahora las tornas podrían haber cambiado. Podría haber actores externos a este submundo deseando beneficiarse de él, consiguiendo convertirse en algo que podríamos definir como traficantes corporativos de hacks. Este tipo de empresas no son como Hacking Team, que tienen a especialistas en seguridad enrolados para sus fines.

De lo que estamos hablando es de una empresa llamada Zerodium, que ha llegado a ofrecer recompensas millonarias por un exploit zero-day. Después los vende en el mercado abierto de Internet, sin tener que acudir a la Dark Web para comprarlos.

Zerodium ofrece un millón de dólares por hackear un iPhone

Según hemos sabido gracias a CNN, Zerodium ofreció el año pasado un millón de dólares por una puerta trasera que permitiese acceso remoto a un iPhone. Y en noviembre de 2015 apareció un ganador, un equipo de hackers que no ha sido identificado.

Consigue el premio de 1 millón de dólares por lograr hackear iOS 9 vía navegador

Sus recompensas no se limitan sólo a Apple. El rango de lo que están dispuestos a pagar incluye lo siguiente:

• 100.000 dólares por hacks para Android y Windows Phone.
• 80.000 dólares para hacks que tengan que ver con Adobe PDF Reader y Adobe Flash.

En este sentido, Zerodium funciona como un traficante de armas digital. Paga a hackers para que aprendan cómo entrar en distintos sistemas operativos, y después empaqueta los exploits y los vende a suscriptores de élite. Estamos hablando de 500.000 dólares al año para recibir los mejores hacks en el buzón del gobierno de turno, lo que permitiría que espiasen a sus ciudadanos cómodamente. Las empresas también podrían beneficiarse de esto, ya que suscribiéndose a Zerodium podrían aprender preparar medidas contra ataques informáticos e incluso usarlas para espionaje industrial.


Estamos hablando de un modelo de negocio muy controvertido. Insistimos, lo que Zerodium vende son exploits zero-day, el arma favorita de la guerra cibernética. Se trata de hacks muy poderosos que explotan vulnerabilidades que el desarrollador del sistema, la aplicación o los protocolos de red de una empresa o gobierno no conoce, y no han tenido ningún día para arreglarlos.

Los zero-days son un arma

Según se recoge, eso es lo que opinan desde la firma de seguridad Zimperium. Vender zero-days en un mercado abierto puede hacer que Internet y los gadgets que usamos a diario sean mucho menos seguros para los usuarios. Que existan empresas como Zerodium, de hecho, no es bueno para el público a largo plazo.

Como cabría esperar, desde la compañía se tiene otro punto de vista. Según ellos, lo que pretenden es ayudar a las fuerzas del orden a investigar con mejores herramientas a su disposición.

La historia entre el FBI y Apple muestra el aspecto más interesante del negocio de los zero-day, que es la necesidad de que las agencias gubernamentales accedan a fallos sin parchear para llevar a cabo investigaciones y salvar vidas (Chaouki Bekrar, CEO de Zerodium)

La misma persona ha comentado a CNN que la alternativa es mucho peor, y que se traduce en gobiernos exigiendo a las empresas que otorguen acceso ilimitado a cualquier dispositivo a través de una puerta trasera —algo que el FBI ya pidió a Apple a raíz de los incidentes de San Bernardino—. No sé qué opinaréis vosotros, pero esto en mi pueblo es cinismo de manual.

El CEO de Zerodium ha ido más allá y ha dado ligeros detalles sobre las personas con las que trabajan, diciendo que por ahora se limitan a grandes empresas y organizaciones gubernamentales de Occidente.
.

Dear researchers, we've published our full prices/bounties for #0day exploits: https://t.co/M4x12Q9Lar
Get big bounties, not bug bounties!

— Zerodium (@Zerodium) 18 de noviembre de 2015

Zerodium contra los cazadores de bugs

Lo que las grandes empresas tecnológicas suelen hacer generalmente para lidiar con estos fallos tan peligrosos es ofrecer recompensas a quienes los descubren. Generalmente se trata de incentivos económicos, que se otorgan como premio a los investigadores que descubren un fallo en un sistema o en una red. De esta manera se consiguen dos cosas: recompensar económicamente a los crackers de forma que no se vea comprometida toda la seguridad de la compañía, y que una tercera persona detecte un fallo por ti que tú solo tendrás que limitarte a solucionar.

Google utiliza este programa de recompensas para fortalecer los dispositivos Android, y Facebook ha llegado a pagar 40.000 dólares a quienes descubren un bug. Hasta Uber tiene un programa de recompensas diseñado para hackers, mientras que United Airlines dio a dos expertos en seguridad un millón de millas de vuelo gratis.

Algunos ejemplos Bug Bounty Programs

• Facebook
• Google
• Android
• Paypal
• Dropbox
• Microsoft
• Drupal
• Mozilla
• Tesla Motors

Estas personas ayudan a que todo el mundo esté más seguro en Internet, mientras que el modelo de negocio de Zerodium sólo protege a sus clientes. Esto está obligando a las tecnológicas a aumentar la cantidad de sus recompensas económicas. Aunque puede no representar un problema para Google o Apple, es algo bastante gordo para las empresas pequeñas que colaboran con algunos de los proyectos de código abierto más populares.

Además, Zerodium no es la única empresa que vende zero-days al mejor postor. Según se recoge, habría otros actores implicados en este negocio. Algunos de ellos son el fabricante de armas Lockheed Martin, la RAND Corporation y la Harris Corporation, que fabrica una herramienta policial de rastreo telefónico conocida como Stingray. Otros como Exodus Intelligence reconocen que ha mantenido algunos zero-days en secreto, de forma que sus clientes puedan usarlo tanto tiempo como sea necesario antes de que se parchee.

Esto podrían considerarse pruebas de comportamiento muy cuestionables, algo muy similar a las razones por las que se atacó a Hacking Team el año pasado. Está empezando una nueva carrera armamentística en el ciberespacio, y da bastante miedo por sus implicaciones. Puedes visitar la página web oficial de Zerodium en este enlace.

Fuente:
http://www.malavida.com/analisis/zerodium-el-traficante-de-exploits-que-compra-vulnerabilidades-a-precio-de-oro-006042