XcodeGhost 投毒一次猥琐之举, 造就此番 iOS 平台迄今最大信任危机。此前 App Store里仅有 5 款恶意 APP通过审核, 此刻已下架超 800 款受 XcodeGhost 感染的 APP。XcodeGhost 事件影响空前, 危险与机遇皆存, 于此次突发事件里, 国内各大安全平台借快速反应及精准分析给看客留下深刻印象。
XcodeGhost 事件的起始源头是偶然被腾讯安全应急响应中心发觉的。对腾讯安全应急响应中心来讲, 在 9 月 14 日这个时间点之前进行了相关察觉, 察觉到存在 APP 行为以一种异常的状态呈现。
近日之前, 于我们追踪一个漏洞期间察觉, 有应用程序出现于启动之际、退出之时, 借助网络朝着某个域名发送状况诡异的加密通信量之情形, 这般行径极为可疑, 因而终端安全团队即刻展开追踪。历经长时间加班加点的仔细剖析与追踪查证, 我们大致还原了遭受感染的具体方式、病毒所展现的行为以及所波及的范围。
在腾讯安全应急响应中心针对异常行为予以分析后, 上报给了国家互联网应急中心（CNCERT）, 此后于9月14日, CNCERT发布了一条预警通报, 且把信息通报给了涉及其中的互联网公司。
9月16日, 腾讯安全应急响应中心予以分析, 之后作出认定, 单单App Store排行榜TOP5000的APP里头, 就存在76款被感染的情况, 于是赶忙向苹果以及波及的厂商, 同步受感染的信息。
彼时, 信息尚只是留存于部分开发者能够知晓的范畴之内。然而, 紧接着有开发者着手于微博之上发布相关讯息, 于是乎, “APP 被投毒”这一消息便迅即于社交媒体微博、微信之上开启了扩散态势, 国外安全平台 paloalto 公布了首份分析报告, 更多的国内安全平台随之开始介入。
9月17日那天, 阿里移动安全的蒸米以及迅迪, 它们于安全原创平台之上, 发表了《Xcode编译器里有鬼 – XcodeGhost样本分析》, 随后公布了样本分析的结果, 并且还针对开发者自检给出了提示:
为了防止app被插入恶意库文件，开发者除了检测”
在 “/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs” 这个目录之下, 除了要查看是不是存在可疑的framework文件之外, 另外还应当去检测一番Target->Build Setting->Search Paths->Framework Search Paths里面的相关设置。看看是否有可疑的frameworks混杂其中。
同时, 阿里移动安全觉得 XcodeGhost 作者不存在严重的不良意图, 然而却告诫开发者, 在进行开发的进程里面, 依旧得留意这类安全方面的问题。
XCodeGhost虽不存在极为严重之恶性行径, 然此病毒传播形式于iOS却是首次出现。或许这仅仅乃病毒作者之试探之举, 说不定后续还会有更为重大之行动, 故而开发者务必得小心谨慎。
先是阿里移动安全对XcodeGhost做了初步分析, 之后, 360涅槃团队, 着手接管XcodeGhost的检测工作, 还开展了深入分析工作。
在9月18日的晚间时分, 360涅槃团队针对Xcode木马样本展开了分析工作, 之后发布了受影响的APP目录, 其中确认了有18个APP或者APP版本受到了波及。这些APP或APP版本中, 包括微信（6.2.5）、嘀嘀出行（4.0.0）, 还有滴滴打车（3.9.7）, 以及联通手机营业厅（3.2）, 另外还有网易云音乐（2.8.3）。
有关苹果iPhone手机借助官方Appstore所下载下来的应用程序现已不再具备安全性, 烦请iPhone用户以及apple开发者自行开展對于自个儿设备上木马程序的检查行为, 并且要做到依据检查结果及时去予以清理, 关于Xcode木马样本详尽的分析书面介绍被罗列于下方, OXcode木马详尽的分析, @360安全应急响应中心, @360网络攻防实验室, @360安全卫士。
九月十九日上午, 于扫描了十四点五万个应用程序之后, 三百六十涅槃团队认定被投毒的应用程序数量达三百四十四款。所受波及的范围有着呈现扩大化的势态。
连夜, 团队对高达14.5万款app展开扫描, 从中发现了344款感染木马的app, 这里面有百度音乐、微信、高德、滴、花椒、58同城、网易云音乐、12306、同花顺、南方航空、工行融e这些, 它们可是拥有着很广泛用户量的app, 其涉及到互联网、金融、铁路、航空、游戏等诸多领域, 危害极其大呢 @360安全卫士 要紧急扩散。
在九月十九日的夜间时分, 三六零涅槃团队于名为FreeBuf的互联网安全媒体平台之上, 发布了一篇文章, 在对XcodeGhost的逻辑结构进行验证还原之后, 觉得它存在恶意下发木马的行为, 把之前阿里移动安全所认为它没有严重恶意行为的结论给推翻掉。
我们借助还原恶意iOS应用跟C2服务器的通信协议, 测试推出了得到感染的iOS应用存在哪些恶意行为, 经过剖析攻击的发起点Xcode, 剖析其存在的弱点以及利用流程, 并且验证了该攻击方法。
9月21日, 有消息称, 涅槃团队在360安全播报平台发布, 检测发现的被投毒的APP数量, 上升到了1078款。
在这个时候, 苹果官方已于19日着手下架受到感染的APP, 按照正常的事态走向, 本应呈被投毒APP进行更新, XcodeGhost所产生的影响逐步被清除的态势。然而, 此次事件却并未就此而结束。
就在 21 日夜里, 百度安全实验室的 @evil_xi4oyu, 于微博爆料: Unity 里被植入了带有相同逻辑的恶意代码, 此情况把 XcodeGhost 事件, 推向了又一个高涨阶段, 有个高潮:
当然不仅仅是xcode, 已经确定Unity - 4.X的被感染样本, 有了增加, 在。
来自./Unity/Unity.app/Contents/PlaybackEngines/iossupport/Trampoline/Libraries/libiPhone-lib-il2cpp.a 的libiPhone-lib-il2cpp.a-*-master.o, 其恶意代码跟xcode里的逻辑相符, 上线域名是。
初始的, 将云诊断相关的网站, 即init.icloud - diagnostics.com中的内容, 各位从事开发工作, 再次进行查看。
在今天, 也就是9月22日, 早上3点左右, 阿里移动安全这边身为蒸米的一些人, 于乌云知识库发布了文章, 此文章详细地去还原了, 此前360涅槃团队所验证的XcodeGhost恶意行为, 并且还认为XcodeGhost存在着下载安装企业证书APP的行为, 以及施行url scheme攻击等行为, 同时还发布了投毒者论坛发帖的截图, 以此认为Unity 3D确实遭到了投毒, 而且投毒者已然开始删除证据。
另外, 存在证据显示, unity 4.6.4至unity 5.1.1之间那种开发工具, 受到了污染, 其行为和XcodeGhost是一致的, 更让人觉得恐怖的是, 有证据能够证明, XcodeGhost其作者, 仍然逍遥法外。
换个角度说, 在整个事件的全部过程当中, 腾讯的安全平台, 阿里的安全平台, 360的安全行业平台以及百度的安全平台, 全程都对XcodeGhost进行了检测以及分析的推动工作。XcodeGhost事件后续仍然尚不清楚究竟会怎样发展。然而, 仅仅就目前所呈现出来的表现来讲, 对于国内的这几个主要安全平台，你将给出怎样的分数呢?
Geeker 说：
XcodeGhost率先打破了iOS的“不破”神话不假, 有可能还会把国内用户对几大安全软件仅有的信任度给悄然拉高呢！也许！
