搜索

[9361] 2015-09-19_迷雾重重：XcodeGhost究竟是恶意病毒还是“无害的实验”？

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-17
2015-09-19_迷雾重重：XcodeGhost究竟是恶意病毒还是“无害的实验”？ 迷 雾 重 重 ： X c o d e G h o s t 究 竟 是 恶 意 病 毒 还 是 “ 无 害 的 实 验 ” ？ 雪 碧 、 明 明 知 道   F r e e B u f   2 0 1 5 - 0 9 - 1 9 微 信 号 微 信 号 f r e e b u f 随 着 随 着 X c o d e G h o s t 事 件 的 持 续 发 酵 ， 安 全 圈 在 这 个 周 末 显 得 尤 为 热 闹 ， 各 路 消 息 、 分 析 、 猜 测 甚 至 事 件 的 持 续 发 酵 ， 安 全 圈 在 这 个 周 末 显 得 尤 为 热 闹 ， 各 路 消 息 、 分 析 、 猜 测 甚 至 “ 阴 谋 论 阴 谋 论 ” 纷 至 沓 纷 至 沓 来 。 技 术 调 查 、 涉 事 厂 商 名 单 、 补 救 措 施 ， 甚 至 对 事 件 始 作 俑 者 展 开 了 人 肉 搜 索 。 来 。 技 术 调 查 、 涉 事 厂 商 名 单 、 补 救 措 施 ， 甚 至 对 事 件 始 作 俑 者 展 开 了 人 肉 搜 索 。 而 今 天 凌 晨 X c o d e G h o s t 作 者 的 道 歉 声 明 更 是 将 事 件 推 向 高 潮 ， 大 多 数 技 术 圈 人 士 不 约 而 同 发 出 了 责 问 ： 尽 管 你 开 源 了 ， 但 真 是 “ 无 害 的 实 验 ” ？ 号 称 影 响 了 超 过 1 亿 用 户 （ 保 守 估 计 ） 的 后 门 鬼 魅 ， 一 句 “ 苦 逼 i O S 开 发 者 的 意 外 发 现 ” 就 可 以 推 脱 ？ 尽 管 作 者 的 “ 澄 清 ” 微 博 将 整 起 事 件 轻 描 淡 写 ， 结 尾 还 不 忘 祝 周 末 愉 快 ， 祝 福 虽 好 ， 但 这 个 周 末 注 定 会 有 技 术 人 们 愉 快 不 起 来 （ 例 如 盘 古 移 动 团 队 的 兄 弟 们 可 是 一 宿 未 眠 啊 ） 。 随 着 时 间 的 推 进 ， 事 件 最 终 会 走 向 何 方 ， 我 们 暂 且 不 得 而 知 。 但 通 过 对 X c o d e G h o s t 事 件 整 体 的 梳 理 后 ， 我 们 却 不 难 从 中 看 到 此 次 事 件 的 影 响 力 之 大 ， 波 及 面 之 广 ， 以 及 待 解 的 谜 团 是 如 此 之 多 。 事 件 回 顾 事 件 回 顾 X c o d e 是 苹 果 A P P 开 发 工 具 ， X c o d e G h o s t 作 者 将 恶 意 代 码 植 入 到 X c o d e 安 装 包 中 并 发 布 到 了 网 上 。 不 同 的 开 发 者 出 于 一 些 原 因 没 有 从 官 网 下 载 X c o d e 而 是 下 载 了 含 有 恶 意 代 码 X c o d e ， 于 是 编 译 出 的 A P P 包 含 恶 意 代 码 并 最 终 走 入 了 用 户 手 中 。 经 多 方 研 究 发 现 ， 感 染 的 A P P 会 在 程 序 开 启 和 关 闭 时 自 动 上 传 使 用 者 的 数 据 ， 若 攻 击 者 有 心 对 此 加 以 利 用 也 可 以 轻 松 控 制 用 户 的 设 备 ， 进 行 钓 鱼 攻 击 以 及 中 间 人 攻 击 。 ·   腾 讯 应 急 响 应 中 心 （ T S R C ） 最 先 发 现 了 这 一 问 题 ， 并 在 9 月 1 1 日 及 时 发 布 了 微 信 更 新 。 随 着 C N C E R T 发 布 预 警 公 告 ， 这 个 魅 影 逐 渐 显 露 出 来 。 ·   9 月 1 6 日 ， T S R C 发 现 A p p S t o r e 上 的 T O P 5 0 0 0 应 用 有 7 6 款 被 感 染 ； 9 月 1 7 日 ， 国 外 安 全 公 司 P a l o   A l t o 发 布 第 一 版 分 析 报 告 ， 随 后 阿 里 移 动 安 全 也 发 布 了 分 析 报 告 。 ·   9 月 1 9 日 凌 晨 4 : 4 0 ， 自 称 X c o d e G h o s t 作 者 现 身 微 博 ， 发 文 称 X c o d e G h o s t 是 “ 源 于 自 己 的 实 验 ， 没 有 任 何 威 胁 性 行 为 ” ， 收 集 的 是 a p p 信 息 ： “ A P P 版 本 、 A P P 名 称 、 本 地 语 言 、 i O S 版 本 、 设 备 类 型 、 国 家 码 等 设 备 信 息 ” 并 公 布 了 源 代 码 。 恶 意 影 响 堪 称 恶 意 影 响 堪 称 i O S 应 用 史 上 之 最 大 应 用 史 上 之 最 大
目 前 ， 根 据 盘 古 团 队 最 新 发 布 的 数 据 显 示 ， 已 检 测 到 超 过 8 0 0 个 不 同 版 本 的 应 用 感 染 了 X c o d e G h o s t 病 毒 。 之 前 公 布 的 受 影 响 A P P （ 部 分 ） ， 括 号 内 为 版 本 号 ： 微 信 （ 6 . 2 . 5 ） 、 网 易 云 音 乐 （ 2 . 8 . 3 ） 、 滴 滴 出 行 （ 4 . 0 . 0 . 6 - 4 . 0 . 0 . 0 ） 、 滴 滴 打 车 （ 3 . 9 . 7 . 1   –   3 . 9 . 7 ） 、 铁 路 1 2 3 0 6 （ 4 . 5 ） 、 5 1 卡 保 险 箱 （ 5 . 0 . 1 ） 、 中 信 银 行 动 卡 空 间 （ 3 . 3 . 1 2 ） 、 中 国 联 通 手 机 营 业 厅 （ 3 . 2 ） 、 高 德 地 图 （ 7 . 3 . 8 ） 、 简 书 （ 2 . 9 . 1 ） 、 开 眼 （ 1 . 8 . 0 ） 、 L i f e s m a r t （ 1 . 0 . 4 4 ） 、 网 易 公 开 课 （ 4 . 2 . 8 ） 、 喜 马 拉 雅 （ 4 . 3 . 8 ） 、 口 袋 记 账 （ 1 . 6 . 0 ） 、 豆 瓣 阅 读 、 C a m S c a n n e r 、 C a m C a r d 、 S e g m e n t F a u l t （ 2 . 8 ） 、 炒 股 公 开 课 、 股 市 热 点 、 新 三 板 、 滴 滴 司 机 、 O P l a y e r （ 2 . 1 . 0 5 ） . . . . . . 盘 古 目 前 仍 在 检 测 更 多 的 应 用 ,   紧 急 加 班 开 发 了 一 款 病 毒 检 测 工 具 ,   下 载 地 址   x . p a n g u . i o 。 苹 果 用 户 可 以 根 据 安 装 提 示 自 行 下 载 检 测 工 具 ， 迅 速 找 到 受 影 响 A P P 。 究 竟 是 谁 挥 刀 斩 苹 果 究 竟 是 谁 挥 刀 斩 苹 果
在 作 者 发 言 “ 澄 清 ” 之 前 一 个 多 小 时 前 ， 微 博 上 曝 出 了 X c o d e G h o s t 作 者 的 个 人 信 息 （ 截 图 来 自 微 博 用 户 、 3 6 0 安 全 团 队 @ 矮 穷 龊 - 陆 羽 ） ： 后 来 便 是 作 者 姗 姗 来 迟 的 澄 清 ： 后 来 便 是 作 者 姗 姗 来 迟 的 澄 清 ： “ 愿 谣 言 止 于 真 相 ， 所 谓 的 ‘ X c o d e G h o s t ’ ， 以 前 试 一 次 错 误 的 实 验 ， 以 后 只 是 彻 底 死 亡 的 代 码 而 已 。 需 要 强 调 的 是 ， X c o d e G h o s t 不 会 影 响 任 何 A p p 的 使 用 ， 更 不 会 获 取 隐 私 数 据 ， 仅 仅 是 一 段 已 经 死 亡 的 代 码 。 ” 当 然 ， 3 6 0 安 全 团 队 迅 速 提 出 质 疑 ， “ 你 的 解 释 很 无 力 ， 一 切 都 太 蓄 意 ， 时 间 也 对 不 上 ， 隐 藏 自 己 ， 变 换 身 份 的 行 为 也 充 分 反 驳 了 你 的 解 . . . ” 。 接 下 来 ， 腾 讯 安 全 团 队 也 称 ： 通 过 百 度 搜 索 “ x c o d e ” 出 来 的 页 面 ， 除 了 指 向 苹 果 A p p S t o r e 的 那 几 个 链 接 ， 其 余 的 都 是 通 过 各 种 i d （ 除 了 c o d e r f u n ， 还 有 使 用 了 很 多 i d ， 如   l m z n e t 、 j r l 5 6 8 等 ） 在 各 种 开 发 社 区 、 人 气 社 区 、 下 载 站 发 帖 ， 最 终 全 链 到 了 不 同 i d 的 百 度 云 盘 上 。 为 了 验 证 ， 团 队 小 伙 伴 们 下 载 了 近 2 0 个 各 版 本   的 x c o d e 安 装 包 ， 发 现 居 然 无 一 例 外 的 都 被 植 入 了 恶 意 的 C o r e S e r v i c e s . f r a m e w o r k ， 可 见 投 放 这 些 帖 子 的 黑 客 对 S E O 也 有 相 当 的 了 解 。 安 全 圈 知 名 专 家 安 全 圈 知 名 专 家 t o m b k e e p e r 不 仅 发 布 了 不 仅 发 布 了 X c o d e G h o s t 作 者 的 消 息 全 文 ， 还 评 价 道 ： 作 者 的 消 息 全 文 ， 还 评 价 道 ： “ 事 闹 大 了 ， 就 会 变 成 公 安 部 督 办 案 件 ， 就 几 乎 一 定 能 破 案 ， 几 乎 一 定 能 找 到 人 。 这 时 候 无 论 自 首 还 是 跑 路 都 比 发 ‘ 澄 清 ’ 有 意 义 得 多 。 ” 鬼 影 ： 鬼 影 ： X c o d e G h o s t 的 原 型 ？ 的 原 型 ？ 其 实 早 在 今 年 三 月 ， 外 媒 披 露 的 报 道 中 已 经 提 及 X c o d e 后 门 ：
根 据 斯 诺 登 近 期 爆 料 的 文 件 显 示 ， C I A 在 美 国 桑 迪 亚 （ S a n d i a ） 国 家 实 验 室 开 发 了 一 款 流 氓 版 X c o d e 。 这 个 版 本 的 X c o d e 会 在 苹 果 开 发 者 的 电 脑 中 植 入 后 门 ， 窃 取 他 们 的 个 人 开 发 密 钥 。 巧 合 的 是 ， 流 传 的 资 料 显 示 作 者 正 是 从 今 年 三 月 份 开 始 将 G h o s t 传 到 网 上 。 因 此 有 网 友 戏 称 : X c o d e G h o s t 作 者 是 C I A （ h o u   z i ） 派 ( q i n g ) 来 ( l a i ) 的 ( d e ) 间 ( j i u ) 谍 ( b i n g ) 吗 ( m a ) ？ 而 与 此 观 点 相 对 应 的 ， Z D 至 顶 网 安 全 频 道 今 天 评 论 称 ， “ 担 忧 是 必 要 的 ， 但 还 不 至 于 引 起 恐 慌 ” 。 文 中 以 目 前 的 公 开 信 息 来 看 ， 分 析 出 ： 个 人 用 户 并 不 用 担 心 隐 私 数 据 被 泄 露 。 多 家 安 全 机 构 分 析 显 示 ， 受 感 染 的 A P P 上 报 的 信 息 仅 是 一 些 设 备 信 息 。 “ 当 然 ， 一 个 不 能 被 验 明 正 身 的 所 谓 澄 清 声 明 也 不 足 以 为 信 ， 最 终 结 论 还 有 待 相 关 组 织 和 机 构 的 调 查 。 ” 孤 军 作 战 还 是 团 队 蓄 谋 ？ 孤 军 作 战 还 是 团 队 蓄 谋 ？ 黎 明 破 晓 后 是 电 闪 雷 鸣 － X c o d e G h o s t 事 件 之 谜   一 文 中 ， 安 全 专 家 R A y H 4 c 对 X c o d e G h o s t 作 者 的 声 明 质 疑 道 ： “ 这 个 声 明 有 条 有 理 ， 公 关 味 之 浓 到 呛 鼻 ， 还 配 上 了 源 代 码 为 自 己 澄 清 ， 我 想 说 如 果 这 件 事 是 哥 们 你 一 个 人 做 的 ， 那 你 确 实 是 天 才 ， 因 为 你 以 一 己 之 力 让 全 世 界 用 户 量 最 大 的 a p p 感 染 上 了 你 的 病 毒 ， 你 将 载 入 史 册 。 你 觉 得 这 样 的 剧 情 ， 背 后 没 有 团 队 ， 大 伙 信 么 ？ P a l o   A l t o   N e t w o r k s 的 报 告 给 出 了 X c o d e G h o s t 的 三 个 版 本 的 分 析 ， 三 个 域 名 ， 同 时 还 指 出 了 盗 取 a p p l e   i d 的 a p p 木 马 也 感 染 了 这 个 病 毒 。 那 么 我 想 问 一 下 ， 另 外 两 个 版 本 的 实 验 在 哪 ， 做 了 些 什 么 事 ？ ！ 那 些 a p p 本 身 就 是 个 木 马 ， 还 感 染 了 病 毒 ， 真 是 耐 人 寻 味 。 ” 对 苹 果 用 户 的 安 全 建 议 对 苹 果 用 户 的 安 全 建 议 盘 古 团 队 成 员 告 诉 F r e e B u f ： 目 前 形 势 依 然 严 峻 ， 他 们 还 在 加 紧 新 版 本 检 测 工 具 的 开 发 。 对 于 恶 意 代 码 样 本 分 析 网 上 已 经 出 现 得 很 全 了 ， 不 过 又 出 现 了 变 种 。 尽 管 “ X c o d e G h o s t 作 者 ” 已 经 将 代 码 开 源 ， 但 是 如 果 有 人 针 对 受 感 染 的 A p p 进 行 中 间 人 劫 持 等 攻 击 手 段 ， 还 是 可 以 执 行 的 。 因 此 ， 苹 果 用 户 万 万 不 可 掉 以 轻 心 。 假 设 这 是 一 场 “ 实 验 ” ， 那 也 已 经 步 入 了 危 险 的 境 地 。 首 先 ， 更 换 A p p l e   I D 密 码 。 然 后 ， 检 测 到 受 影 响 的 A p p 如 果 有 新 版 本 发 布 ， 就 尽 量 更 新 到 最 新 ， 然 后 再 次 扫 描 。 如 果 还 有 问 题 ， 则 建 议 卸 载 ， 等 待 官 方 更 新 。 目 前 ， 苹 果 公 司 还 未 对 此 作 出 回 应 ， 但 是 已 有 不 少 受 影 响 A P P 被 从 A p p   S t o r e 下 架 。 苹 果 公 司 一 直 以 自 家 封 闭 的 i O S 系 统 安 全 性 和 严 格 准 入 的 A P P   S t o r e 市 场 引 以 为 傲 ， X c o d e 后 门 不 仅 使 i O S 安 全 面 临 种 种 质 疑 ， 也 让 苹 果 被 尴 尬 地 打 脸 。 今 年 陆 续 被 曝 出 的 i O S 系 统 高 危 漏 洞 ， 此 次 后 门 事 件 的 雪 上 加 霜 ， 也 许 人 们 该 意 识 到 — — 苹 果 并 不 是 “ 永 远 安 全 的 手 机 系 统 ” 。 另 一 种 声 音 ： 另 一 种 声 音 ： “ 后 门 事 件 后 门 事 件 ” 炒 的 有 点 过 火 了 炒 的 有 点 过 火 了 不 过 网 络 上 也 出 现 了 另 一 种 声 音 ， 有 网 友 称 ： “ 如 果 X c o d e G h o s t 作 者 所 说 的 属 实 （ 只 收 集 A P P 信 息 ） ， 一 个 不 具 备 威 胁 性 质 的 代 码 怎 么 就 算 个 后 门 了 ， 又 被 扣 上 一 个 用 户 隐 私 被 威 胁 的 帽 子 。 你 自 己 看 看 P C 时 代 上 面 有 多 少 数 据 正 在 被 无 声 的 上 传 中 ， 更 何 况 手 机 时 代 。 要 知 道 ， 安 全 发 展 已 经 停 滞 发 展 很 久 了 。 这 就 是 一 个 无 厘 头 的 乌 龙 。 尤 其 看 到 这 句 我 就 想 笑 ： ‘ 恶 意 程 序 的 主 要 来 源 ： 百 度 网 盘 、 迅 雷 等 第 三 方 平 台 。 ’ ”
注 ： 根 据 腾 讯 的 分 析 报 告 ， 黑 客 可 以 在 受 感 染 的 i P h o n e 中 弹 出 内 容 由 服 务 器 控 制 的 对 话 框 窗 口 、 在 受 感 染 的 i P h o n e 中 弹 出 内 容 由 服 务 器 控 制 的 对 话 框 窗 口 。 这 两 点 足 以 说 明 该 程 序 具 有 窃 密 性 质 ， 因 此 F r e e B u f 对 上 述 说 法 存 保 留 意 见 。 * 本 文 作 者 ： F r e e B u f 编 辑 部 雪 碧 、 明 明 知 道 ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理