La compañía de búsqueda de exploits Crowdfense ha anunciado que proporcionará un total de 30 millones de dólares a quienes encuentren errores de día cero dirigidos a Chrome, Safari, Android e iOS.

• Los errores mejor pagados son aquellos exploits de cadena completa sin clic que se puedan entregar a través de mensajes SMS o MMS.

 Una startup ofrece hasta 7M$ por un 0-day para iPhone, hasta 5M$ para Android y 5M$ para WhatsApp e iMessage 

• Los precios se han multiplicado en los últimos años y eso demuestra que la seguridad de nuestros dispositivos está mejorando

Esta empresa fundada en 2017 ofrecerá recompensas de hasta 9 millones de dólares por exploits de cadena completa sin clic que se puedan entregar a través de mensajes SMS o MMS, según informa Security Week.

Además, aquellos investigadores que hallen exploits de cadena completa sin clic para Android pueden embolsarse hasta 5 millones de dólares, mientras que los que identifiquen errores de día cero similares en iOS tienen la oportunidad de llevarse hasta 7 millones de dólares por sus hallazgos. 

Por otro lado, Crowdsense está dispuesta a pagar hasta 3,5 millones de dólares a los investigadores que se topen con exploits que conducen a la ejecución remota de código y al escape de la zona de pruebas en iOS.

Asimismo, la compañía dará entre 2 y 3 millones de dólares por exploits en Chrome que conduzcan a la ejecución remota de código y una escalada de privilegios locales y entre 2,5 y 3,5 millones de dólares por exploits similares orientados a Safari. 

Estos pueden ser los 'premios gordos', pero también hay recompensas de cientos de miles de dólares por encontrar exploits de escape de sandbox menos impactantes dirigidos a Chrome y Safari.

Recompensas mucho más generosas

La firma asegura que como parte del programa solo se evaluarán exploits de zero day completamente funcionales y de alta calidad. 

La compañía ha incrementado significativamente su 'botín' en los últimos años por este tipo de hallazgos. En 2019 su programa de adquisición de exploits ofrecía pagos de hasta 3 millones de dólares.

Crowdfense no es la única compañía que da este tipo de recompensas, hay otras empresas que han ofrecido sumas cuantiosas por hallar este tipo de exploits en Android e iOS. 

Es el caso de la rusa Operation Zero, que el año pasado anunció su intención de pagar hasta 20 millones de dólares por cadenas de explotación completas dirigidas a las plataformas móviles iOS y Android por su "alta demanda en el mercado". 

Fuentes:

https://www.escudodigital.com/ciberseguridad/exploits-dia-cero-chrome-safari-android-ios_58636_102.html

https://techcrunch.com/2024/04/06/price-of-zero-day-exploits-rises-as-companies-harden-products-against-hackers/