Unternehmen bietet 30 Millionen US-Dollar für Zero-Day-Exploits für Android, iOS und Browser

Das Exploit-Akquisitionsunternehmen Crowdfense bietet insgesamt 30 Millionen US-Dollar für Zero-Day-Exploits für Android, iOS, Chrome und Safari.

Crowdfense wurde 2017 gegründet und beschreibt sich selbst als „ein Forschungszentrum und eine Akquisitionsplattform für hochwertige Zero-Day-Exploits und fortgeschrittene Schwachstellenforschung“.

Im Jahr 2019 kündigte das Unternehmen ein Exploit-Akquisitionsprogramm für Zero-Day-Schwachstellen in Android und iOS an, das Auszahlungen von bis zu 3 Millionen US-Dollar für bisher nicht gemeldete Exploits in der gesamten Kette vorsieht.

In diesem Jahr hat das Unternehmen im Rahmen des Programms deutlich höhere Belohnungen bekannt gegeben und Prämien von bis zu 9 Millionen US-Dollar für Zero-Click-Full-Chain-Exploits angeboten, die per SMS oder MMS übermittelt werden können.

Forscher, die in der Lage sind, Zero-Click-Full-Chain-Exploits für Android bereitzustellen, könnten bis zu 5 Millionen US-Dollar verdienen, während diejenigen, die ähnliche Zero-Days in iOS identifizieren, bis zu 7 Millionen US-Dollar für ihre Ergebnisse erhalten könnten, sagt Crowdfense.

Exploits, die zur Remote-Codeausführung und Sandbox-Escape auf iOS führen, könnten Forschern bis zu 3,5 Millionen US-Dollar einbringen.

Das Unternehmen ist bereit, zwischen 2 und 3 Millionen US-Dollar für Chrome-Exploits zu zahlen, die zur Remote-Codeausführung und zur Eskalation lokaler Berechtigungen führen, sowie 2,5 bis 3,5 Millionen US-Dollar für ähnliche Exploits, die auf Safari abzielen.

Crowdfense bietet außerdem Hunderttausende Dollar für weniger wirkungsvolle Sandbox-Escape-Exploits, die auf Chrome und Safari abzielen.

Nach Angaben des Unternehmens werden im Rahmen des Programms nur voll funktionsfähige Zero-Day-Exploits von höchster Qualität evaluiert.

„Die Auszahlungen für vollständige Ketten oder bisher nicht gemeldete, exklusive Funktionen liegen zwischen 10.000 und 9 Millionen US-Dollar pro erfolgreicher Einreichung. Teilketten werden von Fall zu Fall bewertet und anteilig bepreist“, kündigte Crowdfense an.

Crowdfense ist nicht das einzige Unternehmen, das Android- und iOS-Exploits erwerben möchte. Letztes Jahr kündigte das russische Zero-Day-Akquisitionsunternehmen Operation Zero an, dass es bereit sei, bis zu 20 Millionen US-Dollar für vollständige Exploit-Ketten zu zahlen, die auf die mobilen Plattformen iOS und Android abzielen, und behauptete, es gebe „eine hohe Nachfrage auf dem Markt“.

Verwandt: Tesla-, Betriebssystem- und Software-Exploits bringen Hackern bei Pwn2Own 2024 1,1 Millionen US-Dollar ein

Verwandt: Pwn2Own Automotive: Hacker verdienen über 700.000 US-Dollar für Tesla, EV-Ladegerät und Infotainment-Exploits

Verwandt: Zerodium bietet 400.000 US-Dollar für Microsoft Outlook Zero-Day Exploits