中神通公司技术论坛 - Powered by Discuz! Board

标题: 最近网友发现第三方渠道下载的xcode被插入恶意代码，编译的软件全成了小型木马 [打印本页]

作者: linda 时间: 2015-9-18 21:05 标题: 最近网友发现第三方渠道下载的xcode被插入恶意代码，编译的软件全成了小型木马

@乌云知识库：#木马分析# 还能不能愉快的下载IDE了，今日网友发现第三方渠道下载的xcode被插入恶意代码，编译的软件全成了小型木马，究竟怎么回事呢感谢@阿里移动安全 @蒸米spark 投稿的作品《XCode编译器里有鬼 – XCodeGhost样本分析》

@图拉鼎:经过我亲自测试，得出以下结果：网易云音乐确实中招了，见图1。其他还有，滴滴出行，图2。12306，图3。这些用的如此广泛的国内 App 都中招了，可见影响范围有多广！其他国内的 App 我就不多试了，仅举上述三例。虽然现在已经不构成实质上的信息泄露，因为恶意网站已主动关闭，怎么做大家自己看着办。

新一轮测试完毕，在我手机上的 100 多个 App 中继续发现以下 App 中招了，分别是：1、中国联通的手机营业厅；2、高德地图；3、简书；4、豌豆荚的开眼；5、网易公开课。每个 App 我都打开关闭两次才确认的，应该不会弄错。大家如有补充可以评论告诉我。如果这些厂的程序猿还不知道的话，麻烦告诉他们。
第三轮测试结果如下：6、下厨房；7、51卡保险箱；8、同花顺；9、中信银行动卡空间…后面三个都是和金融有关的，真是可怕。所幸的是，当前恶意代码没有做更多收集用户信息的动作，目前收集的只是 App 信息和开关等使用记录，但是如果这个今天没发现，再过段时间针对具体 App 做具体的事情就太迟了。
如 @Saic 微博所说，情况就是这样：当你在中招的 App 里完成了一次 IAP 内购，比如云音乐的付费音乐包，无论是输入密码还是 Touch ID，那么一段加密的数据即发往了目标服务器。目前尚不知加密的内容是什么。
大家问我这次 iOS App 被恶意代码植入后的相关建议，我简单总结。尽管恶意服务器已停止收集，但仍有风险！中招 App 实在太多，名单还在不断增加，所以可以先做以下防护措施：1、更改会通过 App 支付的帐户密码（如 iCloud），开启两步验证；2、暂停使用中招的 App，无法停止的至少不要进行内购等操作。
对于 iOS 开发者的建议，立即删除从不明来源下载的 Xcode，即使你是用官方地址然后在迅雷上下载的，最后从 App Store 安装最新版本的 Xcode。有条件的公司应该在今天开始专门设置一台有专人管理的 Build Server，所有发布至 App Store 的 App 只能从该台电脑 Build 并发布，以防止未来此类事件的再现。

作者: linda 时间: 2015-9-19 09:50 标题: 关于所谓“XcodeGhost”的澄清

首先，我为XcodeGhost事件给大家带来的困惑致歉。XcodeGhost源于我自己的实验，没有任何威胁性行为，详情见源代码:https://github.com/XcodeGhostSource/XcodeGhost

所谓的XcodeGhost实际是苦逼iOS开发者的一次意外发现：修改Xcode编译配置文本可以加载指定的代码文件，于是我写下上述附件中的代码去尝试，并上传到自己的网盘中。

在代码中获取的全部数据实际为基本的app信息：应用名、应用版本号、系统版本号、语言、国家名、开发者符号、app安装时间、设备名称、设备类型。除此之外，没有获取任何其他数据。需要郑重说明的是：出于私心，我在代码加入了广告功能，希望将来可以推广自己的应用（有心人可以比对附件源代码做校验）。但实际上，从开始到最终关闭服务器，我并未使用过广告功能。而在10天前，我已主动关闭服务器，并删除所有数据，更不会对任何人有任何影响。

愿谣言止于真相，所谓的”XcodeGhost”，以前是一次错误的实验，以后只是彻底死亡的代码而已。

需要强调的是，XcodeGhost不会影响任何App的使用，更不会获取隐私数据，仅仅是一段已经死亡的代码。

再次真诚的致歉，愿大家周末愉快。

原文：http://weibo.com/u/5704632164

欢迎光临中神通公司技术论坛 (http://trustcomputing.com.cn/bbs/)