Las pruebas de concepto (PoC) de exploits para vulnerabilidades conocidas son ampliamente compartidos en la comunidad de seguridad. Ayudan a los analistas de seguridad a aprender de entre sí y facilitan las evaluaciones de seguridad y las tareas de red teaming. En En los últimos años, las pruebas de concepto se han distribuido ampliamente, por ejemplo, a través de sitios web y plataformas, y también a través de repositorios de código público como GitHub. Sin embargo, los repositorios de código público no ofrecen ninguna garantía de que La PoC proviene de una fuente confiable, o incluso que simplemente hace exactamente lo que Se supone que lo hace.

Más información en el artículo

• Yadmani, S. The, R. Gadyatskaya, O. (15 oct, 2022). How security professionals are being attacked: A study of malicious CVE proof of concept exploits in GitHub. arXiv:2210.08374v1. https://arxiv.org/pdf/2210.08374v1 

WEB: https://zerodium.com/

De vez en cuando los ciber investigadores encuentran alguna vulnerabilidad que no ha sido descubierta a eso se le llama Cero Day, ellos pueden venderlas a páginas como Zerodium para monetizar su investigación y seguir generando más investigaciones posteriormente.

Zerodium paga GRANDES recompensas a los investigadores de seguridad para que adquieran sus investigaciones de día cero o zero day originales y no comunicadas previamente. Mientras que la mayoría de los programas de bug bounty existentes aceptan casi cualquier tipo de vulnerabilidades y PoCs pero pagan muy poco, en Zerodium se centra en vulnerabilidades de alto riesgo con exploits completamente funcionales.

• Zerodium Exploit Acquisition Program https://zerodium.com/program.html

• Zerodium paga hasta up to $2,500,000 per submission.

Proceso de envío

Zerodium revisa y valida todos los envíos en una semana o menos. Los pagos se realizan en uno o varios plazos mediante transferencia bancaria o criptomonedas (por ejemplo, Bitcoin, Monero, Zcash). El primer pago se envía en una semana o menos.

BUG PROGRAMS: https://hackerone.com/bug-bounty-programs/

Los programas de recompensas por fallos ofrecen recompensas monetarias a los hackers éticos que descubren e informan de una vulnerabilidad o fallo al desarrollador de la aplicación. Estos programas permiten a las empresas aprovechar la comunidad de hackers para mejorar la seguridad de sus sistemas con el paso del tiempo. Si está interesado en obtener más información sobre la creación de un programa de recompensas por fallos para su organización, consulte la página del producto HackerOne Bounty.

Apple Security Bounty: https://security.apple.com/bounty/ 

Si envía una investigación sobre una vulnerabilidad de seguridad o privacidad, su informe puede optar a una recompensa. El programa Security Bounty de Apple está diseñado para reconocer tu trabajo para ayudarnos a proteger la seguridad y la privacidad de nuestros usuarios.