2015-9-18 21:20:26
来源：笔戈科技
 

什么是XCodeGhost？

猿题库的iOS开发工程师在9月17日上午9点发了一篇微博，微博中描述了他的一位朋友在非官方渠道下载的Xcode（苹果软件开发工具）居然自带病毒文件，造成的结果是，通过Xcode编译出来的app会被注入不知名的第三方代码，并且向陌生网站发送数据。

哪些APP受到了影响？

• 网易云音乐

• 网易公开课

• 12306移动端

• 中信银行动卡空间

• 下厨房

• 中国联通手机营业厅

• 高德地图

• 简书

• 豌豆荚开眼

• 滴滴出行

• 51卡保险箱

• 同花顺

• 中信银行动卡空间

对用户有什么影响？

目前来看，在Xcode中莫名加入的这段代码并没有什么恶意，只是收集部分数据，但是不得不防的是，未来很可能出现更加带有攻击性的病毒注入Xcode，那么对于用户手机安全，这其中存在巨大的隐患。

XcodeGhost的创新在哪？

与以往的病毒嵌入思路不同，XcodeGhost直接把病毒代码嵌入了开发工具源头，这种另类的传播方式直接让其在初期的传播广度上获得了非常好的效果，网易云音乐等热度APP中弹就是很好的证明。

为什么要从第三方下载Xcode？

归根结底的原因还是在于国内App Store连接速度太慢，许多程序员为了提高效率，方便下载，会直接从各大论坛和网盘上找第三方资源，这就给一些不良少年提供了作案的机会。

始作俑者是谁？

目前乌云网的部分代码专家查到代码传送信息指向到一个网址为：http://init.的假冒网站（冒充苹果官网），目前该网站已经关闭。

有用户举报始作俑者的网名为「coderfun」，主要以各类iOS开发论坛和微博留言区为据点，提供带有病毒版本的Xcode网盘下载地址，其中包括了从Xcode6.1-Xcode6.4的所有版本，目前其真身不得人知。

分析人士指出，病毒作者是个老手，并且非常小心，在代码和服务器上都没有留下什么痕迹，所以不排除以后还会继续作案的可能。

目前XcodeGhost还没有非常严重的恶意行为，但是这种病毒传播方式在iOS上还是首次。

为什么影响巨大？

根据国外网站paloalto的分析，coderfun所释放的Xcode dmg文件先是被广泛发布到了Douban, SwiftMi, CocoaChina, OSChina这几个论坛网站，然后又再百度云出现了大量下载文件。

不仅如此，还成功感染了迅雷的离线服务器，也就是说，你常用下载软件是迅雷的话，输入官网的地址下载下来的dmg仍然有可能是被修改过的。

在这我们不得不佩服这个骇客四两拨千斤的能力。

该如何应对？

目前的许多网友提供了一些针对性的解决方案：

1、从官方渠道下载Xcode；

2、程序员开发应该更加严谨的使用经过校检的Xcode开发工具；

3、苹果改善官方APP Store连接速度；

4、官方APP Store改进APP审核机制。

事件进展

网易云音乐已经针对此事发出公告

网友评价

@Alamo aka狐狸：关于第三方渠道下载Xcode夹杂私货的问题，我有两句话要说，第一句是：「苹果公司App审核制度过分官僚，如同地铁安检，形同虚设。」第二句是：「你的xcode.dmg已经签收，签收人：草签」

@bちゃん：针对编译器的病毒这种东西，我在一本很老旧的计算机病毒防护教材上看到过，也知道有个tcc注入login su的后门的说法，以为这种病毒费时费力，估计现在没什么人这么搞了。没想到还真有人干了这种事情，还是对Xcode，真是何等丧病。我都开始怀疑是不是国内某些公司的所为了……

@Belleve：这是个处心积虑、策划多年的骗局，其手法之高明，说明攻击者要么是经验丰富的老道黑客，要么就是有专业的黑产公司。不同于年初时候那些依靠力量的攻击，这个骇客成功地实现了四两拨千斤，用最少的资源获取到了最多的隐私资料，而且过了甚久才被察觉。

这次的攻击绝对可以载入史册，绝对的。

用水果机的注意看了

现在说是试验项目，呵~呵~

我不用水果机的

没有绝对安全的系统，包括极客口中的那些?inux。有漏洞不可怕，要紧的是改得快，水果修补漏洞的效率是公认最低的。

現在是下架集中換新版，說跟官方源無關恐怕不可信，嘿嘿……

http://www.

2015-9-19 18:54:06
来源：腾讯科技
 

9月19日消息，最近这几天，在App Store上架的网易云音乐等多个应用被注入Xcode第三方恶意代码，会将用户信息发送到病毒作者服务器，由此刷爆朋友圈。

下面是关于XcodeGhost事件的10个热点问答，称受XCodeGhost事件影响的APP可能有30多款，基于安全考虑，最好对涉及到密码、支付方式等进行修改。

“为确保安全，用户也可以选择暂时卸载那些受影响软件。保险起见，修改iCloud帐户密码。再次强烈建议开通iCloud双重验证。”

另据了解，今日一个名为“XcodeGhostSource”的帐号在GitHub发布“关于所谓”XcodeGhost”的澄清”一文称，“源于我自己的实验，没有任何威胁性行为”。

以下是整理的10个热点问答：

1.XcodeGhost事件的来龙去脉

源于9月18日乌云网公布的一则分析报告:XCode编译器里有鬼–XCodeGhost样本分析,这份纯粹的技术分析报告引爆中国iOS生态链的众多开发者。

有些程序员使用了第三方Xcode编译器，这些编译器编写的APP存在安全问题，当它们上传到AppStore之后，被用户下载安装，它们会偷偷上传软件包名、应用名、系统版本、语言、国家等基本信息。

从病毒样本的分析看，这些泄露信息其实并不涉及太多的隐私问题。

值得注意的是，病毒拥有更多的权限，它们在iPhone/iPad上弹出钓鱼网站页面，可能骗取iCloud帐号密码，或者其他关键信息。

2.哪些APP有问题，可能有什么影响？

据分析，受XCodeGhost事件影响的APP可能有30多款，包括微信、网易云音乐、网易公开课、我叫MT、同花顺、南京银行、南方航空、中信银行行动卡空间、名片全能王、愤怒的小鸟2等等比较熟知的应用。

安装这些应用的iPhone/iPad用户可能泄露基本的信息。

如果在近一段时间（1-2个月内），普通用户在这些受影响的应用中输入过敏感信息，如icloud密码、信用卡信息等，这些信息理论上也可能被泄露。

基于安全的考虑，最好对涉及到的密码、支付方式等进行修改。

3.这意味着什么？苹果不再安全了吗？

以往人们普遍认为，只要不越狱，只从官方应用市场下载软件，iPhone/iPad就是安全的。现在，这个神话破灭了。开发工具中做手脚，可能骗过那些聪明的程序员，在编译自己的应用时，把有害代码加进去，威胁用户数据安全。

甚至这种攻击方式绕过了AppStore的安全审核机制，使得官方商店的防护也不如以往那样可信。

4.iPhone/iPad需要安全软件吗？

总的来说，iPhone/iPad不越狱的风险仍然可控，尽管这次苹果的安全审查未能检测到威胁。用户仍然只能从官方市场下载应用，比安卓上混乱的应用市场还是要好一些。

另外，需要提醒苹果用户注意的是，并不是手机不中毒就安全，目前大量安全事件其实并非手机端的病毒制造的，信息泄露、网络钓鱼、电信诈骗等几乎无处不在，提高安全意识才是防范风险最有用的手段。而这些，显然不能仅仅依靠手机端的安全软件来解决。

5.普通用户如何防范？

再次建议iPhone/iPad用户不要越狱，只从官方市场下载软件。当有人试图套取你的iCloud帐户密码或者其他重要帐户密码、手机验证码时，必须谨慎对待。

为确保安全，用户也可以选择暂时卸载那些受影响软件。保险起见，修改iCloud帐户密码。再次强烈建议开通iCloud双重验证，方法可参考百度经验的技术文章。

6.疑似作者道歉了，公开了源码，他说的是真的吗？

#XcodeGhost#始作俑者@XcodeGhost-Author向公众致歉，称这是一个“实验”、“并未制造威胁性行为”，并上传源码供研究人员分析，业内人士从源码判断“可信度较高”。

7.有人说需要iCloud需要改密码，信用卡需要注销，12306也要改密码。

目前，该事件并未上升到草木皆兵的地步，iCloud帐户及其他重要帐号，建议网友开通双重验证（即除了用户名密码验证，再开通其他方式比如手机验证码验证动态密码）。

安全专家总在反复强调不要重复使用密码，不要使用过于简单的密码，这些都是非常重要的建议。当安全事件到来时，有所准备的网友受到伤害的可能性最低。

8.针对XCode程序员的安全建议是什么？

程序员使用Xcode非官方版本，可能有两个原因：官方渠道下载缓慢，或者开发者使用了黑苹果（盗版苹果系统）开发。

这件事给程序员敲响警钟，要安全，首先得保证自己的开发工具安全。程序员被黑客暗算的事儿曾经多次发生，无论如何，建议使用正版、未被非法篡改过的开发工具编写程序，避免你的用户成为受害者。

其次，编译环境、发布环境的安全值得注意，编译服务器和自动发布服务器，应保持干净的环境，不要随意安装来源不明的可疑软件。

9.此次事件对苹果的安全策略会造成什么影响？

显然，苹果会修补这次安全事件造成的影响，安全审查会变得更严格。但苹果不会为某些软件（比如安全软件）提供更多权限。

10.为什么苹果没能阻止这次攻击？

安全是动态的过程，今天认为安全的保护措施，可能在未来某个时刻被新的攻击方法突破，或者总有漏洞被黑客发现。一个完全不会被攻克的系统，只能是神话。