XcodeGhost风波
XcodeGhost风波,为中国大陆地区App Store中的部分iOS應用程式被称为「XCodeGhost」的第三方惡意代码注入,而产生了一系列的问题,包括可能的隐私泄漏、广告点击。
因为属于开发者端的程序污染,所以即便是未越狱的iOS用户从苹果官方App Store下载应用也可能存在风险。
根據史諾登(Edward Snowden)揭露文件,該手法於2012年,美國中情局(CIA)已有相關能力,即透過偽冒Xcode,用來監控所有使用該偽冒開發工具所開發的App及後續的修改版本,而這套偽冒開發工具所開發的App,可以在蘋果公司的官方App Store上架並販售,且不會被任何人員發覺有異常之處。[1]
事件发展
XcodeGhost植入
Xcode为苹果公司所發行、供程式設計師開發OS X、iOS、watchOS與tvOS應用程式的整合開發環境(IDE),在Mac App Store中免费提供。由于网络审查导致中国大陆用户访问Mac App Store有连接困难,部分开发者出于方便选择了国内第三方渠道下载(如百度网盘、迅雷离线等)或者从社交平台查找获得开发程序,由此带来了安全隐患。
而这部分Xcode的框架库中被加入了被称为“XcodeGhost”的框架库,导致其编译出来的App都带有后门代码,会在最终客户端运行时将隐私信息提交给第三方。[2]
爆发
根据已经披露的文档,腾讯安全应急响应中心在跟踪某app的bug时发现异常流量,解析后上报了中国国家互联网应急中心(CNCERT)[2],后者随即在2015年9月14日发布了预警訊息[3]。之后也有其他国家的信息安全组织跟进调查。
在2015年9月17日左右,新浪微博用户“@唐巧_boy”发布微博声称Xcode有可能被第三方代码注入,而在社交平台上引起轩然大波。乌云 (网站)后续发布相关的知识库文章[4]。
当事人陈述
2015年9月19日凌晨4时许,新浪微博上出现一名“XcodeGhost-Author”的新用户发布一条微博訊息,声称XcodeGhost只是一个实验性质项目;随后该项目的GitHub页面也刊载了一致的声明[5]。
应急处理
苹果方面虽然事前缺乏对程序的安全审核,但是事件发生后火速对感染恶意代码的app进行了下架[6]。
部分大陆地区开发商的App因此受到影响,因此对其受污染的App使用正规渠道下载的Xcode进行编译后重新上线。
受感染应用
受到影响的app程序众多,据称受感染的app多达76个[7],而记载着app名单的截图应该来自“360安全播报平台”,其将在2015年9月19日更新的消息中将受XcodeGhost感染的app数量上调为344款[8];而截至2015年9月20日下午的通报,受感染app数量为1078款[8]。
知名度较高的部分app如:微信、网易云音乐、滴滴打车、高德地图、12306、同花顺、中信银行动卡空间、简书等。涉及包括即时通讯软件、地图应用甚至金融服务产品。
苹果公司對此事进行了公开声明[9],並对于部分感染app进行了下架处理[6];从2015年9月20日开始,部分下架程序重新编译后上架,但各厂商对此态度不同,微信的版本更新中并未说明原因,而网易云音乐则注明为“修复XcodeGhost问题”[10]。
影响
- 事件相关
- 中国官方媒体的中央电视台报道了该事件[11],且在节目中援引专家说法,对所谓作者的无害声明进行质疑。
- 安全网站如乌云、腾讯安全中心,自媒体月光博客等也在该事件中作为信息发布平台提供支持。
- 虽然苹果公司发布了声明并对感染应用做了下架处理[9],然而风险仍然存在,即如果用户下载了受感染应用而没有更新,恶意代码仍然有被运行风险。苹果对此也并没有对所有用户发布推送性质的通告。
- 腾讯科技在2015年9月21日发表了署名“梁辰”的相关评论文章[12],箭头直指苹果的安全防御机制,解释相关黑色产业链的存在;然而最后段落中,对于开发者不恰当使用第三方渠道下载XCode工具,该文批评指“每次下Xcode花个几十分钟非常正常,这才造成大家都用迅雷和百度网盘这种非官方渠道”。此外,文中错误指称肯·汤普逊言及『编译Unix代码的C编辑器里留有“后门”』,事实为Ken在其论文《Reflections on Trusting Trust》中阐述的若不校验基于信任的信任,那么编译器出现问题时则会影响全局安全性[13],与本次事件有相似度。
- 安全问题外延
原因
- 因为苹果公司的App Store等服务在中国大陆有访问缓慢的问题。部分开发者选择了从非正规的第三方渠道下载套件,这为恶意软件开发者散布恶意代码提供可乘之机,通过在大陆地区各大苹果开发社交网站散布自己带有后门框架的Xcode来诱使开发人员使用,从而埋下隐患。[12]
参见
- iOS应用程序审核
- Xcode(苹果开发套件)
- 防火长城(中国大陆访问境外网站受限的阻挡)
- 僵尸网络
- 2014年8月名人照片泄露事件(曾经发生的iCloud泄露事件)
参考资料
- 黃彥棻. . 電週文化事業. 2015-10-13.
- Gmxp. . 腾讯安全应急响应中心. 2015-09-19 [2018-08-06]. (原始内容存档于2018-08-06) (中文(简体)).
- . 国家互联网应急中心. 2015-09-14 [2018-07-06]. (原始内容存档于2018-08-06) (中文(简体)).
- . 乌云. 2015-09-17 [2015-09-20]. (原始内容存档于2015-09-20) (中文(简体)).
- XcodeGhost GitHub上的XcodeGhost项目
- 苹果App Store火线下架遭感染的软件 页面存档备份,存于 — cnbeta
- 苹果App被置病毒全部名单 不是只有20多个而是76个 — techweb
- 已知有后门的iOS App 页面存档备份,存于 — 360安全播报平台
- Apple. . 蘋果公司官方網站. [2015-09-27]. (原始内容存档于2015-09-27) (中文(中国大陆)及英语).
- 网易. . iTunes. 2015-09-26 [2015-09-26]. (原始内容存档于2015-09-26) (中文(中国大陆)).
- 苹果手机多款应用程序现“后门” — cntv
- 《苹果遭遇信任危机:苹果APP也会被黑》 - 腾讯科技
- Thompson, Ken. . Communications of the ACM. August 1984, 27 (8): 761–763 [2015-10-05]. doi:10.1145/358198.358210. (原始内容存档于2012-05-25).
- .
- .
- 你以为服务器关了这事就结束了? - XcodeGhost截胡攻击和服务端的复现,以及UnityGhost预警 - 乌云
- XcodeGhost
- 雪碧; 明明知道. . Freebuf. 2015-09-19 [2020-07-05].
外部链接
- GitHub上的XcodeGhost頁面
- Greatfire組織:中国流行的iOS应用遭到前所未有的恶意软件感染(简体中文)
- 关于使用非苹果官方XCODE存在植入恶意代码情况的预警通报 页面存档备份,存于 国家互联网应急中心 2015-09-14
- 你以为这就是全部了?我们来告诉你完整的XCodeGhost事件 — 腾讯安全应急响应中心
- 《针对此次XcodeGhost攻击行为的分析》
- Novel Malware XcodeGhost Modifies Xcode, Infects Apple iOS Apps and Hits App Store 页面存档备份,存于 安全公司 Paloalto networks 的分析报告(英文)
- Solidot:报道称XcodeGhost开发者已被控制(简体中文)