事件到底是什么样的 完整的XCodeGhost 幽灵入侵 (事件到底是什么)
【编者按】本文来自腾讯安全应急中心，作者Gmxp。
前言
这几天安全圈几乎被XCodeGhost事件刷屏，大家都非常关注，各安全团队都很给力，纷纷从不同角度分析了病毒行为、传播方式、影响面积甚至还人肉到了作者信息。拜读了所有网上公开或者半公开的分析报告后，我们认为，这还不是全部，所以我们来补充下完整的XCodeGhost事件。
由于行文仓促，难免有诸多错漏之处，还望同行批评指正。
事件溯源
事情要追溯到一周前。
9月12日，我们在跟进一个bug时发现有APP在启动、退出时会通过网络向某个域名发送异常的加密流量，行为非常可疑，于是终端安全团队立即跟进，经过一个周末加班加点的分析和追查，我们基本还原了感染方式、病毒行为、影响面。
9月13日，产品团队发布了新版本。同时考虑到事件影响面比较广，我们立即知会了CNCERT，CNCERT也马上采取了相关措施。所以从这个时间点开始，后续的大部分安全风险都得到了控制——可以看看这个时间点前后非法域名在全国的解析情况。
9月14日，CNCERT发布了这个事件的预警公告。我们也更新了移动APP安全检测系统“金刚”。
9月16日，我们发现AppStore上的TOP5000应用有76款被感染，于是我们向苹果官方及大部分受影响的厂商同步了这一情况。
9月17日，嗅觉敏锐的国外安全公司paloalto发现了这个问题，并发布第一版分析报告，阿里移动安全也发布了分析报告。
接下来的事情大家都知道了，XCodeGhost事件迅速升温，成为行业热点，更多的安全团队和专家进行了深入分析，爆出了更多信息。
被遗漏的样本行为分析
1）在受感染的APP启动、后台、恢复、结束时上报信息至黑客控制的服务器
上报的信息包括：APP版本、APP名称、本地语言、iOS版本、设备类型、国家码等设备信息，能精准的区分每一台iOS设备。
上报的域名是icloud-analysis.com，同时我们还发现了攻击者的其他三个尚未使用的域名。
（上传机器数据的恶意代码片段）
2）黑客可以下发伪协议命令在受感染的iPhone中执行
黑客能够通过上报的信息区分每一台iOS设备，然后如同已经上线的肉鸡一般，随时、随地、给任何人下发伪协议指令，通过iOS openURL这个API来执行。
相信了解iOS开发的同学都知道openURL这个API的强大，黑客通过这个能力，不仅能够在受感染的iPhone中完成打开网页、发短信、打电话等常规手机行为，甚至还可以操作具备伪协议能力的大量第三方APP。实际上，iPhone上的APP如果被感染，完全可以理解为黑客已经基本控制了你的手机！
（控制执行伪协议指令的恶意代码片段）
3）黑客可以在受感染的iPhone中弹出内容由服务器控制的对话框窗口
和远程执行指令类似，黑客也可以远程控制弹出任何对话框窗口。至于用途，将机器硬件数据上报、远程执行伪协议命令、远程弹窗这几个关键词连起来，反正我们是能够通过这几个功能，用一点点社工和诱导的方式，在受感染的iPhone中安装企业证书APP。装APP干什么？还记得几个月之前曝光的Hacking Team的iPhone非越狱远控（RCS）吗？
（控制远程弹窗的恶意代码片段）
4）远程控制模块协议存在漏洞，可被中间人攻击
在进行样本分析的同时，我们还发现这个恶意模块的网络协议加密存问题，可以被轻易暴力破解。我们尝试了中间人攻击，验证确实可以代替服务器下发伪协议指令到手机，成为这些肉鸡的新主人。
（存在安全漏洞的协议解密代码片段）
值得一提的是，通过追查我们发现植入的远程控制模块并不只一个版本。而现已公开的分析中，都未指出模块具备远程控制能力和自定义弹窗能力，而远程控制模块本身还存在漏洞可被中间人攻击，组合利用的威力可想而知。这个事件的危害其实被大大的低估了。
感染途径
分析过程中我们发现，异常流量APP都是大公司的知名产品，也是都是从AppStore下载并具有官方的数字签名，因此并不存在APP被恶意篡改的可能。随后我们把精力集中到开发人员和相关编译环境中。果然，接下来很快从开发人员的xcode中找到了答案。
我们发现开发人员使用的xcode路径Xcode.app/Contents/Developer/PlatForms/iPhoneOS.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/下，存在一个名为CoreServices.framework的“系统组件”，而从苹果官方下载的xcode安装包，却不存在这些目录和“系统组件”。
（被感染恶意代码的xcode包路径）
原来开发人员的xcode安装包中，被别有用心的人植入了远程控制模块，通过修改xcode编译参数，将这个恶意模块自动的部署到任何通过xcode编译的苹果APP（iOS/Mac）中。
通过百度搜索“xcode”出来的页面，除了指向苹果AppStore的那几个链接，其余的都是通过各种id（除了coderfun，还有使用了很多id，如lmznet、jrl568等）在各种开发社区、人气社区、下载站发帖，最终全链到了不同id的百度云盘上。为了验证，团队小伙伴们下载了近20个各版本的xcode安装包，发现居然无一例外的都被植入了恶意的CoreServices.framework，可见投放这些帖子的黑客对SEO也有相当的了解。
（XCodeGhost作者在知名论坛上发布xcode的下载帖）
进一步来看，攻击者做到的效果是只要是通过搜索引擎下载xcode，都会下载到他们的XCodeGHost，还真的做到了幽灵一样的存在。
影响到底多大？
在清楚危害和传播途径后，我们意识到在如此高级的攻击手法下，被感染的可能不只一个两个APP，于是我们马上对AppStore上的APP进行检测。
后记
经过这一事件后，开发小伙伴们纷纷表示以后只敢下官方安装包，还要MD5和SHA1双校验。而这个事件本身所带来的思考，远不止改变不安全的下载习惯这么简单。
经过这两年若干次攻击手法的洗礼后，我们更加清醒的意识到——
总结来看，移动互联网安全之路任重道远。当然，这里的危机也是安全行业的机遇。
原创文章，未经授权禁止转载。详情见 转载须知 。
本文地址： https://www.gpxz.com/article/79f9a600e3170108bcf8.html
Docer稻壳儿是金山办公旗下WPS办公资源分享平台,为WPS用户提供有需要的ppt模板、PPT背景图,PPT素材,PPT图表,ppt课件,文档模版,表格模板,云字体和图标图片素材资源；下载ppt模板,工作总结模板,个人求职应聘简历模版，就来稻壳儿官网，稻壳儿为每个人的进步加分！
更轻巧/更流畅/更安全/更人性化
家居床垫美梦
酒店管道直饮水,工厂直饮水设备,校园直饮水系统,小区直饮水工程,办公楼直饮水方案,工业纯水,冷却循环水处理,工业循环冷却水处理,雨水收集,雨水处理,广州高得环保科技是中国领先的水处理整体解决方案和综合专业服务商。提供管道直饮水,直饮水设备,直饮水系统,工业纯水,工业中央空调循环水,工业废水等水处理系统的设计,制造,安装,调试,维护等全方位水处理解决方案！服务热线：020-82573699
★动力无限★全国服务热线:400-0599-368,十多年品牌,三家分公司,专业致力于西安网站建设,网站制作,网站设计及万抖销短视频拍摄和运营.我们深知全域流量获客,数字化推动业务增长是中小企业数字化转型之关键,我们将以诚挚的心,专业的技术为中小企业网络营销贡献一份力量.
深圳宝深传媒是一家明星代言、演出策划、制作、娱乐、发行于一体的文娱产业专业运营集团公司主要业务是针对少年儿童演艺人才挖掘（选拔活动）、表演技能提升（如少儿街舞，少儿T台，少儿主持，少儿播音主持，少儿音乐，少儿表演艺术等培训、名师指点）、童星包装策划推广、儿童演艺人才推荐（剧组、电视栏目、演出活动）、童星经纪营销为一体的综合网站。
小不萌模版大全提供：简历模版,PPT答辩模版,模版大全,,个人简历模版下载,模版电子版下载.毕业PPT模版下载，论文查重，免费论文查重，ai降重服务！
乐读是获得教育主管部门批准成立的非营利性学科类培训机构，面向中小学生提供义务教育阶段的直播课程及学习服务。乐读坚持以学生为中心，帮助孩子实现身心健康下的全面成长。
Coremail是国内头部电子邮件产品与解决方案提供商，全面国产化适配，产品涵盖信创邮件系统、信创云企业邮箱、邮件安全网关等，可为各行业提供更加安全、高效、自主可控的信创邮件系统解决方案。
湖南新闻综合门户网站，国内网站新闻影响力十强，中国地方新闻网站第一品牌，湖南省党网。2001年成立。提供新闻信息、生活资讯、视频直播、论坛博客、手机报、客户端、微博、电子商务、活动策划、舆情、广告等服务。设省直部门网群和13个市州、123个县市区分站。荣获过中国最具影响力新闻网站、中国十大创新传媒、最具品牌价值网站等荣誉，有百姓呼声、红辣椒评论等名牌栏目。
使命召唤16游戏专题;提供使命召唤16中文版下载,使命召唤16攻略大全,使命召唤16汉化补丁,使命召唤16视频解说,攻略视频,修改器,汉化下载,完美存档,MOD,教学,配置,截图,壁纸,武器,枪械,角色等资料。《使命召唤16》是一款RPG风格的合作FPS游戏。
正值双十一购物狂欢节点，不少用户都会选择在这个时候买一台家用投影仪，对于首次入手的用户来说，面对市面上繁多的产品可能会眼花缭乱，到底双十一投影仪买什么好，小编结合用户评价和市场热度，筛选整理出了2023双十一投影仪推荐清单，内含各个价格段内实用产品，用户可以根据实际使用需求对比选购，5000元以上双十一投影仪推荐1.当贝X5，激光投影...。
孩子的成长就离不开游乐玩乐，游乐园就是孩子们娱乐的天地，可以提供丰富的娱乐项目，既可以锻炼孩子的胆量，也可以起到增强体质，以及团队的合作能力，受到很多宝宝们的喜爱，嘻哈乐儿童主题乐园就是一家实力雄厚的儿童乐园，品牌的名气大，公司总部还推出了丰富的娱乐项目，还受到很多创业者的关注，一些创业者就想要了解，嘻哈乐儿童主题乐园加盟费高吗，怎么...。
8月26日，拼多多发布截至6月30日的2024第二季度财报，受益于宏观经济企稳回升，线上零售持续向好，拼多多业绩表现稳健，本季度营收达到971亿元，二季度，拼多多继续深化落实高质量发展战略，坚定地投入平台生态建设，不断提升消费体验和服务体系，持续优化供应链上行的质量和效率，进一步满足了最广大用户的多样化消费需求，今年上半年，我们持续...。
英伟达公布新AI系统，可以创造出不存在的人物图像雷锋网AI掘金志消息，英伟达最近公布了一项人工智能技术，是一种有关可以创造出不存在的人的图像技术，下次当你点击一个有吸引力的头像图片时，你可能会欣赏到一款智能电脑的虚构创造，英伟达的研究人员建立了一个全球性的生成对抗网络，GAN，，通过让两个人工智能系统相互竞争的方式来创造出更高质量的模...。
vivoXFold2和自家首台竖向折叠屏vivoXFlip、新平板vivoPad2一起在4月20日发布，一年过去了，vivo的折叠屏依然是外围堆料路线，只是这次vivoXFold2成了首发骁龙8Gen2、首台支持120W快充的折叠屏手机，以及依然是仅此一家的内外双超声波指纹，起步价格8999元，规格，vivoXFold2有华夏红、天青...。
1月9日，全球权威知识产权第三方机构IPRdaily发布，AI安全可信关键技术专利分析简要报告，报告引用国际权威数据库德温特世界索引，截至2022年11月28日，全球AI安全可信技术领域共17605个专利族的申请数，较2021年新增9567个，IBM、NTT、腾讯、蚂蚁等多家公司排名前列，其中蚂蚁集团旗下的支付宝在该领域的专利申请数...。
发表在峰米投影仪2021，11，2014，03一到家马上马不停蹄的拿出来试，我是参观光峰科技公司后，才了解到这么好的东西，峰米R1整体还是较为满意的，放在客厅卧室刚好合适，像个电影院一样，不过，刚用感觉蛮惊艳的，就是，摆放的位置有点尴尬，需要拿个板凳放在上面，板凳得放在电视柜前面，不看的时候老是要收起来，不然占位置，久了就不想拿出...。
泰捷盒子安装当贝市场教程2、把泰捷盒子接到电视上以后，在，精选，版块里找到，应用商店，3、打开，应用商店，以后，在，系统工具，里找到，沙发助手，，点击下载，安装到盒子上，4、这时把U盘接到盒子的USB接口上，启动沙发助手，在主页找到，文件管理，5、在U盘目录下找到，安装包，选项，点击进入，6、在安装包文件夹中找到，乐视专版，apk文件...。
2019年重庆火锅加盟哪家好，重庆龙江码头老火锅荣登榜首，龙江码头老火锅加盟品牌是有何优势，得多这么多人食客和创业者青睐，助它登上榜首！龙江码头老火锅在传递重庆老火锅同时，也不断创立，使其口味更贴合当代消费者，从而成为当代人气主流，话说老火锅现今有风靡之势，那么选对项目，选对品牌，你离成功还会远吗，火锅历史悠久，从元代流传至蒙古，清朝...。
5.23新一轮筹码集中股（附股）_彬哥看盘_新浪博客,彬哥看盘,
干掉平台的肯定是大主播干掉电商平台的肯定是大主播目前平台和大主播还是互相利用的状态但是随着时间的沉淀这种平衡肯定会打破平台想管理大主播大主播想摆脱平台今后若干年必有场轰轰烈烈的口水当越来越多的消费者喜欢上了大主播例如董玉辉那么平台已经不重要了平台今后的打法应该是干掉大主播平台的生存基础是那几十万个可怜兮兮的小店如果都是...
3DMax2022中文破解版是一款最新的三维建模软件，为用户提供了强大的三维建模、动画和渲染功能，帮助用户快速的完成模型的制作和渲染工作。
知乎上关于百度竞价，有个点击量很高的问题，标题是，做医疗竞价2年了，也混了个小主管，感觉就是伤心、伤神、伤身，医疗过于依赖竞价...请问其他行业也这样么?，下面的点赞和评论很多，这也反映了很多人从事百度竞价几年之后的迷茫，百度竞价从什么时候开始难做的?每个竞价投放人员都有自己的理解，我个人是15年末了解百度竞价的，16年有尝试，17年...。
2月23日，即将于2月25日正式开幕MWC2019已经近在咫尺，来自中国的智能手机厂商OPPO在西班牙巴塞罗那举行了一场别开生面的创新大会，在这次由OPPOCEO陈明永亲自出席的大会上，OPPO面向包括雷锋网在内的全球媒体展示了其在十倍混合光学变焦技术的进展，并展示了首台OPPO5G手机，十倍混合光学变焦技术，2019年4月见其实，这...。
文字链接认证代码普通联盟标志认证代码企业广告联盟标志认证代码广告联盟评测代码说明，本页面的认证代码为互联网创富广告联盟专用评测代码，站长需懂简单html知识，直接复制代码粘贴到联盟网站相应页面即可使用，本代码不适用于其他广告联盟网站请勿获取！文字认证，文字链接代码认证适用所有类型的广告联盟，复制代码后放在互联网创富广告联盟网站首页底部...。
中铁33是指中国铁路建设集团有限公司，其实际的全称为，中国铁路工程总公司第三工程局，，简称，中铁三局，中铁33是一家以铁路工程建设为主的公司，其业务范围涵盖了铁路、市政道路、桥梁隧道、公路水泥路面、机场跑道等多个领域，中铁33在铁路工程建设领域具有较强的实力和竞争力，能够完成各种复杂的工程项目，中铁33有较强的科研技术实力，能够提供...。
发表在当贝投影仪2023，3，2913，32当贝F5需要外接机顶盒吗，答案是否定的，当贝F5无需外接机顶盒即可使用，因为当贝F5内置内容丰富、功能强大的当贝OS系统，支持用户用户在线观影，同时拥有4G，64G的超大存储，可以容量海量的应用软件，因此无需外接机顶盒，如果想要连接机顶盒时候，那么可以通过HDMI线连接当贝F5和机顶盒来实现...。
