Belohnung für iOS-Remote-Jailbreak auf 2 Millionen Dollar erhöht

Der Sicherheitsanbieter Zerodium hat die Preise für den Ankauf von Sicherheitslücken in weit verbreiteter Software erhöht. Die höchste Belohnung gibt es weiterhin für einen dauerhaften Remote Jailbreak für Apples Mobilbetriebssystem iOS, der sich ohne Interaktion mit einem Nutzer installieren lässt. Statt 1,5 Millionen zahlt das US-Startup für eine solche Anfälligkeit nun 2 Millionen Dollar. Wird für die Installation eines Remote Jailbreak eine Nutzerinteraktion benötigt, lassen sich nun 1,5 Millionen Dollar verdienen, 500.000 Dollar mehr als zuvor.

Das Geschäftsmodell des 2015 gegründeten Unternehmens umfasst den Ankauf von Zero-Day-Lücken und Exploits, die es dann an andere Unternehmen, Regierungsbehörden oder Strafverfolger weiterverkauft. Deren Interesse an Details zu öffentlich nicht bekannten Sicherheitslücken ist unter Umständen sehr groß. Sie können ihnen helfen, sich selbst gegen Angriffe zu schützen. Strafverfolger oder Geheimdienste wiederum setzen sie bei Ermittlungen oder Aktionen gegen Dritte ein. Ein Remote Jailbreak für iOS würde es beispielsweise erlauben, die Sicherheitsfunktionen von iPhones und iPads zu umgehen und deren Verschlüsselung aufzuheben.

Händler wie Zerodium sind jedoch umstritten. Von ihnen erworbene Sicherheitslücken landen in der Regel nämlich nicht in den Händen der Softwareanbieter – sie werden also nicht gepatcht. Auch der Einsatz solcher Anfälligkeiten durch Strafverfolger oder Geheimdienste ist umstritten. Allerdings zahlen Firmen wie Zerodium oftmals deutlich höhere Prämien als die Softwareanbieter selbst oder unabhängige Bug-Bounty-Programme wie die Zero Day Initiative.

Die dritthöchste Belohnung im Mobilbereich zahlt Zerodium für eine Remotecodeausführung über WhatsApp, Apple iMessage oder SMS/MMS. Hier ist nun eine Million Dollar ausgelobt (plus 500.000 Dollar). 500.000 Dollar gibt es für Schwachstellen, die es erlauben, Schadcode außerhalb der Sandbox von Chrome für Android oder Safari für iOS auszuführen. Der Preis für die Umgehung der PIN-, Passwort- oder Touch-ID-Sperre eines Android- oder iOS-Smartphones erhöhte sich indes von 15.000 auf 100.000 Dollar.

Im Desktop- und Server-Bereich bringt eine Remotecodeausführung unter Windows ohne Interaktion mit einem Nutzer, beispielsweise durch SMB- oder RDP-Pakete, ebenfalls eine Millionen Dollar ein. Eine entsprechende Lücke in Chrome für Windows wird nun mit 500.000 statt 250.000 Dollar belohnt. Mit Schwachstellen in PHP, OpenSSL, Exchange Server und Outlook lassen sich nun bis zu 250.000 Dollar verdienen.

Das Unternehmen verspricht zudem, alle eingereichten Sicherheitslücken innerhalb einer Woche zu prüfen. Unmittelbar danach sollen auch die Belohnungen ausgezahlt werden, per Überweisung oder in Bitcoin oder Monero, möglicherweise jedoch in mehreren Teilbeträgen.