Xcode事件分析：蘋果安全神話被打破，iOS遭遇最大危機！

本文作者： fenggou

2015-09-19 00:13

導語：事實證明蘋果的安全神話已破，堪稱移動安全史上歷史性事件！

【編者按】本文來自烏云漏洞平臺@蒸米、@迅迪。

我們蘋果設備上的APP都是由蘋果Xcode開發工具所編寫，但Xcode體積過于龐大，如果在蘋果官方商店安裝會非常緩慢，于是很多開發者會在網盤或迅雷下載。但這些非官方渠道的Xcode竟然暗藏殺機，利用開發者感染了企業上架的APP……

所以這次事件的邏輯是：

黑客將包含惡意功能的Xcode重新打包，發到各大蘋果開發社區供人下載；
來自于各企業內的開發者下載安裝了包含惡意代碼的Xcode編寫APP；
惡意Xcode開始工作，向這些APP注入信息竊取功能；
被注入惡意功能的APP通過審核上架蘋果官方商店；
用戶在蘋果商店安裝了這些被感染的APP；

那么，現在已經發現被感染的APP有哪些呢？

0x00 目前發現的部分被感染APP

微博用戶@圖拉鼎在本機上測試發現，已有10余個知名App中招：

網易云音樂（已回應確認）
滴滴出行
12306
中國聯通手機營業廳
高德地圖
簡書
豌豆莢的開眼（已回應確認）
網易公開課
下廚房
51卡保險箱
同花順
中信銀行動卡空間
仍然不短增長中……

微博用戶@not_so_bad 發現，微信 v6.2.5版受影響，@騰訊用戶服務其微博下評論確認存在，并表示目前最新版微信已修復。

目前微博、推特上仍有網友發現有新應用存在問題。

烏云建議，使用非官方渠道下載Xcode的iOS開發者請立刻展開自查，并對受影響版本進行處理。雖然目前還沒發現問題應用會盜取用戶敏感信息，但建議用戶能開啟iCloud二次驗證，并保持良好的使用習慣。

0x01 序

事情的起因是@唐巧_boy在微博上發了一條微博說到：一個朋友告訴我他們通過在非官方渠道下載的 Xcode 編譯出來的 app 被注入了第三方的代碼，會向一個網站上傳數據，目前已知兩個知名的 App 被注入。

Xcode事件分析：蘋果安全神話被打破，iOS遭遇最大危機！

隨后很多留言的小伙伴們紛紛表示中招，@誰敢亂說話表示：”還是不能相信迅雷，我是把官網上的下載URL復制到迅雷里下載的，還是中招了。我說一下：有問題的Xcode6.4.dmg的sha1是：a836d8fa0fce198e061b7b38b826178b44c053a8，官方正確的是：672e3dcb7727fc6db071e5a8528b70aa03900bb0，大家一定要校驗。”另外還有一位小伙伴表示他是在百度網盤上下載的，也中招了。

0x01 樣本分析

在@瘋狗 @longye的幫助下，@JoeyBlue_ 為我們提供了病毒樣本:CoreService庫文件，因為用帶這個庫的Xcode編譯出的app都會中毒，所以我們給這個樣本起名為：XCodeGhost。CoreService是在”/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/”目錄下發現的。

用ida打開，發現樣本非常簡單，只有少量函數。主要的功能就是先收集一些iPhone和app的基本信息，包括：時間，bundle id(包名)，應用名稱，系統版本，語言，國家等。如圖所示：

Xcode事件分析：蘋果安全神話被打破，iOS遭遇最大危機！

隨后會把這些信息上傳到 init.icloud-analysis.com。如圖所示：

Xcode事件分析：蘋果安全神話被打破，iOS遭遇最大危機！

http://init.icloud-analysis.com并不是apple 的官方網站，而是病毒作者所申請的仿冒網站，用來收集數據信息的。

Xcode事件分析：蘋果安全神話被打破，iOS遭遇最大危機！

目前該網站的服務器已經關閉，用whois查詢服務器信息也沒有太多可以挖掘的地方。這說明病毒作者是個老手，并且非常小心，在代碼和服務器上都沒有留下什么痕跡，所以不排除以后還會繼續做作案的可能。

0x03 思考&總結

雖然XCodeGhost并沒有非常嚴重的惡意行為，但是這種病毒傳播方式在iOS上還是首次。也許這只是病毒作者試試水而已，可能隨后還會有更大的動作，請開發者務必要小心。

這個病毒讓我想到了UNIX 之父 Ken Thompson 的圖靈獎演講 “Reflections of Trusting Trust”。他曾經假設可以實現了一個修改的 tcc，用它編譯 su login 能產生后門，用修改的tcc編譯“正版”的 tcc 代碼也能夠產生有著同樣后門的 tcc。也就是不論 bootstrap (用 tcc 編譯 tcc) 多少次，不論如何查看源碼都無法發現后門，真是細思恐極啊。

0x04 后續

我們將持續跟進這次事件。不過在網上，其實還有很多令人思考的地方，在文末也順帶給大家摘抄一部分：

微博用戶@Saic

拿文件看了一下，這個木馬劫持了所有系統的彈窗（例如 IAP 支付），然后向目標服務器發送了加密數據，目前還不知怎么解密發出去的請求

Drops讀者yoyokko

基本確定病毒先將信息post到服務器，收到服務器返回后，connectiondidfinishloading里調用response的block代碼，里面彈出alertview，如果這個alertview不是用來偽裝icloud密碼輸入框豈不是被人發現了？不確定服務器是否有開關來選擇性的彈出alertview。另外病毒有部分字符串被加密，病毒里還自帶encrypt和decrypt函數，居心叵測！！千萬別以為只上傳了部分非隱私的信息就放松警惕！

Drops讀者小奧

除了@圖拉鼎曝光的幾個受到 XcodeGhost.Blackdoor 病毒的 App 外，我在 App Store 前50名里還找到了 @喜馬拉雅FM 這個 App。另外，根據自測，我本人購買的 @名片全能王和 @掃描全能王同時中招。今天自查的 app 出現此后門的有滴滴出行高德地圖喜馬拉雅FM 名片全能王、掃描全能王、下廚房、51卡保險箱、同花順、中信銀行動卡空間、中國聯通手機營業廳、簡書、豌豆莢-開眼、網易公開課、網易云音樂、滴滴出行、12306。

Drops讀者flz