欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

迷雾重重:XcodeGhost究竟是恶意病毒还是“无害的实验”?

来源:本站整理 作者:0xroot 时间:2015-09-20 TAG: 我要投稿

随着XcodeGhost事件的持续发酵,安全圈在这个周末显得尤为热闹,各路消息、分析、猜测甚至“阴谋论”纷至沓来。技术调查、涉事厂商名单、补救措施,甚至对事件始作俑者展开了人肉搜索。而今天凌晨XcodeGhost作者的道歉声明更是将事件推向高潮,大多数技术圈人士不约而同发出了责问:尽管你开源了,但真是“无害的实验”?号称影响了超过1亿用户(保守估计)的后门鬼魅,一句“苦逼iOS开发者的意外发现”就可以推脱?
尽管作者的“澄清”微博将整起事件轻描淡写,结尾还不忘祝周末愉快,祝福虽好,但这个周末注定会有技术人们愉快不起来(例如盘古移动团队的兄弟们可是一宿未眠啊)。随着时间的推进,事件最终会走向何方,我们暂且不得而知。但通过对XcodeGhost事件整体的梳理后,我们却不难从中看到此次事件的影响力之大,波及面之广,以及待解的谜团是如此之多。
事件回顾
Xcode是苹果APP开发工具,XcodeGhost作者将恶意代码植入到Xcode安装包中并发布到了网上。不同的开发者出于一些原因没有从官网下载Xcode而是下载了含有恶意代码Xcode,于是编译出的APP包含恶意代码并最终走入了用户手中。
经多方研究发现,感染的APP会在程序开启和关闭时自动上传使用者的数据,若攻击者有心对此加以利用也可以轻松控制用户的设备,进行钓鱼攻击以及中间人攻击。
· 腾讯应急响应中心(TSRC)最先发现了这一问题,并在9月11日及时发布了微信更新。随着CNCERT发布预警公告,这个魅影逐渐显露出来。
· 9月16日,TSRC发现AppStore上的TOP5000应用有76款被感染;9月17日,国外安全公司Palo Alto发布第一版分析报告,随后阿里移动安全也发布了分析报告。
· 9月19日凌晨4:40,自称XcodeGhost作者现身微博,发文称XcodeGhost是“源于自己的实验,没有任何威胁性行为”,收集的是app信息:“APP版本、APP名称、本地语言、iOS版本、设备类型、国家码等设备信息”并公布了源代码。
恶意影响堪称iOS应用史上之最大
目前,根据盘古团队最新发布的数据显示,已检测到超过800个不同版本的应用感染了XcodeGhost病毒。
之前公布的受影响APP(部分),括号内为版本号:
微信(6.2.5)、网易云音乐(2.8.3)、滴滴出行(4.0.0.6-4.0.0.0)、滴滴打车(3.9.7.1 – 3.9.7)、铁路12306(4.5)、51卡保险箱(5.0.1)、中信银行动卡空间(3.3.12)、中国联通手机营业厅(3.2)、高德地图(7.3.8)、简书(2.9.1)、开眼(1.8.0)、Lifesmart(1.0.44)、网易公开课(4.2.8)、喜马拉雅(4.3.8)、口袋记账(1.6.0)、豆瓣阅读、CamScanner、CamCard、SegmentFault(2.8)、炒股公开课、股市热点、新三板、滴滴司机、OPlayer(2.1.05)......
盘古目前仍在检测更多的应用, 紧急加班开发了一款病毒检测工具, 下载地址 x.pangu.io。苹果用户可以根据安装提示自行下载检测工具,迅速找到受影响APP。

    

究竟是谁挥刀斩苹果
在作者发言“澄清”之前一个多小时前,微博上曝出了XcodeGhost作者的个人信息(截图来自微博用户、360安全团队@矮穷龊-陆羽):

后来便是作者姗姗来迟的澄清:
“愿谣言止于真相,所谓的‘XcodeGhost’,以前是一次错误的实验,以后只是彻底死亡的代码而已。
需要强调的是,XcodeGhost不会影响任何App的使用,更不会获取隐私数据,仅仅是一段已经死亡的代码。”
当然,360安全团队迅速提出质疑,“你的解释很无力,一切都太蓄意,时间也对不上,隐藏自己,变换身份的行为也充分反驳了你的解…”。
接下来,腾讯安全团队也称:通过百度搜索“xcode”出来的页面,除了指向苹果AppStore的那几个链接,其余的都是通过各种id(除了coderfun,还有使用了很多id,如lmznet、jrl568等)在各种开发社区、人气社区、下载站发帖,最终全链到了不同id的百度云盘上。为了验证,团队小伙伴们下载了近20个各版本的xcode安装包,发现居然无一例外的都被植入了恶意的CoreServices.framework,可见投放这些帖子的黑客对SEO也有相当的了解。
安全圈知名专家tombkeeper不仅发布了XcodeGhost作者的消息全文,还评价道:
“事闹大了,就会变成公安部督办案件,就几乎一定能破案,几乎一定能找到人。这时候无论自首还是跑路都比发‘澄清’有意义得多。”
鬼影:XcodeGhost的原型?
其实早在今年三月,外媒披露的报道中已经提及Xcode后门:
根据斯诺登近期爆料的文件显示,CIA在美国桑迪亚(Sandia)国家实验室开发了一款流氓版Xcode。这个版本的Xcode会在苹果开发者的电脑中植入后门,窃取他们的个人开发密钥。
巧合的是,流传的资料显示作者正是从今年三月份开始将Ghost传到网上。因此有网友戏称:XcodeGhost作者是CIA(hou zi)派(qing)来(lai)的(de)间(jiu)谍(bing)吗(ma)?
而与此观点相对应的,ZD至顶网安全频道今天评论称,“担忧是必要的,但还不至于引起恐慌”。文中以目前的公开信息来看,分析出:个人用户并不用担心隐私数据被泄露。多家安全机构分析显示,受感染的APP上报的信息仅是一些设备信息。
“当然,一个不能被验明正身的所谓澄清声明也不足以为信,最终结论还有待相关组织和机构的调查。”
孤军作战还是团队蓄谋?
黎明破晓后是电闪雷鸣-XcodeGhost事件之谜 一文中,安全专家RAyH4c对XcodeGhost作者的声明质疑道:

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载