事件到底是什么样的 完整的XCodeGhost 幽灵入侵 (事件到底是什么)
【编者按】本文来自腾讯安全应急中心，作者Gmxp。
iPhone.com/uploads/new/article/740_740/201509/55fcdce9935df.jpg" src="http://www.gpxz.com/zdmsl_image/article/20241203175949_18315.jpg" loading="lazy">
前言
这几天安全圈几乎被XCodeGhost事件刷屏，大家都非常关注，各安全团队都很给力，纷纷从不同角度分析了病毒行为、传播方式、影响面积甚至还人肉到了作者信息。拜读了所有网上公开或者半公开的分析报告后，我们认为，这还不是全部，所以我们来补充下完整的XCodeGhost事件。
由于行文仓促，难免有诸多错漏之处，还望同行批评指正。
事件溯源
事情要追溯到一周前。
9月12日，我们在跟进一个bug时发现有APP在启动、退出时会通过网络向某个域名发送异常的加密流量，行为非常可疑，于是终端安全团队立即跟进，经过一个周末加班加点的分析和追查，我们基本还原了感染方式、病毒行为、影响面。
9月13日，产品团队发布了新版本。同时考虑到事件影响面比较广，我们立即知会了CNCERT，CNCERT也马上采取了相关措施。所以从这个时间点开始，后续的大部分安全风险都得到了控制——可以看看这个时间点前后非法域名在全国的解析情况。
9月14日，CNCERT发布了这个事件的预警公告。我们也更新了移动APP安全检测系统“金刚”。
9月16日，我们发现AppStore上的TOP5000应用有76款被感染，于是我们向苹果官方及大部分受影响的厂商同步了这一情况。
9月17日，嗅觉敏锐的国外安全公司paloalto发现了这个问题，并发布第一版分析报告，阿里移动安全也发布了分析报告。
接下来的事情大家都知道了，XCodeGhost事件迅速升温，成为行业热点，更多的安全团队和专家进行了深入分析，爆出了更多信息。
被遗漏的样本行为分析
1）在受感染的APP启动、后台、恢复、结束时上报信息至黑客控制的服务器
上报的信息包括：APP版本、APP名称、本地语言、iOS版本、设备类型、国家码等设备信息，能精准的区分每一台iOS设备。
上报的域名是icloud-analysis.com，同时我们还发现了攻击者的其他三个尚未使用的域名。
（上传机器数据的恶意代码片段）
2）黑客可以下发伪协议命令在受感染的iPhone中执行
黑客能够通过上报的信息区分每一台iOS设备，然后如同已经上线的肉鸡一般，随时、随地、给任何人下发伪协议指令，通过iOS openURL这个API来执行。
相信了解iOS开发的同学都知道openURL这个API的强大，黑客通过这个能力，不仅能够在受感染的iPhone中完成打开网页、发短信、打电话等常规手机行为，甚至还可以操作具备伪协议能力的大量第三方APP。实际上，iPhone上的APP如果被感染，完全可以理解为黑客已经基本控制了你的手机！
（控制执行伪协议指令的恶意代码片段）
3）黑客可以在受感染的iPhone中弹出内容由服务器控制的对话框窗口
和远程执行指令类似，黑客也可以远程控制弹出任何对话框窗口。至于用途，将机器硬件数据上报、远程执行伪协议命令、远程弹窗这几个关键词连起来，反正我们是能够通过这几个功能，用一点点社工和诱导的方式，在受感染的iPhone中安装企业证书APP。装APP干什么？还记得几个月之前曝光的Hacking Team的iPhone非越狱远控（RCS）吗？
（控制远程弹窗的恶意代码片段）
4）远程控制模块协议存在漏洞，可被中间人攻击
在进行样本分析的同时，我们还发现这个恶意模块的网络协议加密存问题，可以被轻易暴力破解。我们尝试了中间人攻击，验证确实可以代替服务器下发伪协议指令到手机，成为这些肉鸡的新主人。
（存在安全漏洞的协议解密代码片段）
值得一提的是，通过追查我们发现植入的远程控制模块并不只一个版本。而现已公开的分析中，都未指出模块具备远程控制能力和自定义弹窗能力，而远程控制模块本身还存在漏洞可被中间人攻击，组合利用的威力可想而知。这个事件的危害其实被大大的低估了。
感染途径
分析过程中我们发现，异常流量APP都是大公司的知名产品，也是都是从AppStore下载并具有官方的数字签名，因此并不存在APP被恶意篡改的可能。随后我们把精力集中到开发人员和相关编译环境中。果然，接下来很快从开发人员的xcode中找到了答案。
我们发现开发人员使用的xcode路径Xcode.app/Contents/Developer/PlatForms/iPhoneOS.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/下，存在一个名为CoreServices.framework的“系统组件”，而从苹果官方下载的xcode安装包，却不存在这些目录和“系统组件”。
（被感染恶意代码的xcode包路径）
原来开发人员的xcode安装包中，被别有用心的人植入了远程控制模块，通过修改xcode编译参数，将这个恶意模块自动的部署到任何通过xcode编译的苹果APP（iOS/Mac）中。
通过百度搜索“xcode”出来的页面，除了指向苹果AppStore的那几个链接，其余的都是通过各种id（除了coderfun，还有使用了很多id，如lmznet、jrl568等）在各种开发社区、人气社区、下载站发帖，最终全链到了不同id的百度云盘上。为了验证，团队小伙伴们下载了近20个各版本的xcode安装包，发现居然无一例外的都被植入了恶意的CoreServices.framework，可见投放这些帖子的黑客对SEO也有相当的了解。
（XCodeGhost作者在知名论坛上发布xcode的下载帖）
进一步来看，攻击者做到的效果是只要是通过搜索引擎下载xcode，都会下载到他们的XCodeGHost，还真的做到了幽灵一样的存在。
影响到底多大？
在清楚危害和传播途径后，我们意识到在如此高级的攻击手法下，被感染的可能不只一个两个APP，于是我们马上对AppStore上的APP进行检测。
后记
经过这一事件后，开发小伙伴们纷纷表示以后只敢下官方安装包，还要MD5和SHA1双校验。而这个事件本身所带来的思考，远不止改变不安全的下载习惯这么简单。
经过这两年若干次攻击手法的洗礼后，我们更加清醒的意识到——
总结来看，移动互联网安全之路任重道远。当然，这里的危机也是安全行业的机遇。
原创文章，未经授权禁止转载。详情见 转载须知 。
黑猫投诉平台是新浪旗下消费者投诉平台,快速解决315消费投诉,315投诉维权,共享服务投诉,购物平台投诉,旅游出行投诉,住宿投诉,娱乐生活投诉,教育培训投诉,金融支付投诉等,拥有海量企业库,各领域专家,专业律师团队及权威帮帮团来帮助消费者。
深圳市阳光博睿教育技术有限公司,是国内领先的移动数据技术提供商深圳市梦网科技发展有限公司的全资子公司
百家号，是百度为创作者打造的集创作、发布、变现于一体的内容创作平台，也是众多企业号实现营销转化的运营新阵地。
汝南建工职业培训学校官网欢迎你的光临
美食，顾名思义就是美味的食物，贵的有山珍海味，便宜的有街边小吃。其实美食是不分贵贱的，只要是自己喜欢的，都可以称之为美食。
湖北联塑宜昌代理商（湖北冠页科技有限公司，电话13997666660）是联塑管道与汉塑管业在宜昌的总经销，主营产品：PVC管、PVC排水管、PE管、HDPE双壁波纹管等，价格实惠，欢迎选购。
常州市常能导热油有限公司专业生产热油泵,高温导热油,节能热油泵,常州导热油,武林牌导热油,高温常能导热油,常能导热油,武林热油泵,武进热油泵,高温常能导热油,欢迎新老客户前来咨询选购。
西安正天科创测控技术有限公司(www.xaztkc.com)是金属磨损传感器,颗粒度传感器,油液品质在线监测系统,油液品质传感器,金属磨粒监测厂家,公司已经通过ISO9001质量体系认证,相关产品已通过CE认证,而且以机械设备健康监测与管理为发展重心,欢迎来电洽谈交流
久日新材久日新材天津久日新材料股份有限公司成立于1998年，是集研发、生产、销售、服务于一体的专业性光引发剂、单体、齐聚物、紫外吸收剂等光固化材料的国家高新技术企业，为上海证券交易所科创板上市公司（股票简称：久日新材，股票代码：688199）。
湖北程力专用车厂家主要生产销售环卫绿化洒水车,雾炮车,洗扫车,吸污车,吸粪车等各类专用车车型，其中有程力东风环卫12吨洒水车,8吨绿化洒水车,国六15方雾炮抑尘车,小型蓝牌吸污车和国六多利卡吸粪车等市政工程车，以及各类多功能洗扫车环卫车型。了解咨询更多车型,参数,配置,图片和价格优惠信息联系程力专用车销售经理。
布雷博是公认的汽车与摩托车盘式制动器技术创新者，为世界知名的汽车与摩托车生产商提供高性能制动件，包括刹车制动卡钳，制动片，制动盘，制动液等。
电车之家，专业的电动汽车及新能源汽车门户网站，涵盖电动汽车新闻、丰富车型展示、详尽购车指南与评测、前沿新能源汽车技术解析、活跃车主社区与论坛、便捷充电设施查询、权威政策法规解读、深度行业趋势分析、积极绿色出行倡议以及二手电车交易平台，全方位服务您的绿色出行需求。
随着人们居住条件从村落变成了小区，传统的庭院变成了套房，这个过程中，装修有了发展，以前的院落因为经济条件不好很少会装修，而现在的套房，不装修几乎是不存在，铺地板砖、粉墙、吊顶几乎是必备的，这里粉墙很重要，谁不希望自己房子的墙面，表面光滑，无污染呢，为了安全美观起见，大部分的房主在装修中用的乳胶漆都会倾向选择知名品牌，房子毕竟一住就是很...。
现在人们生活水平不段提高，又是二胎政策，所以很多父母都想给孩子买好的，就拿儿童推车来说，不少父母就考虑给孩子买进口的推车，这样孩子坐起来即舒服又安全，那么，推车品牌很多，宝妈不知道儿童推车品牌哪个好，所以下面就来了解一下，好孩子每个孩子出生都需要用到小推车，因此小推车是宝妈必买的东西，所以市场需求量比较大，好孩子品牌自创立以来有29的...。
我国的卤食文化有着上千年的历史，尤其是鸭脖，在整个市场领域里，安全便捷营养，健康美味的创立种类，所形成的特色口感，形成了独特的市场经销优势，这与它制造酱料的全面搭配，以及特色手法的烹煮工艺，有着非常大的关系，现在已经成为众多创业者，看好的智慧之选项目，现在就来具体了解一下，谁加盟过鸭脖，鸭脖需要多少加盟费，现在进行鸭脖项目参与的智慧之...。
智能锁是区别于传统机械锁的创立产品，有着先进的科技技术，便捷的使用方式，现已应用到了银行、学校、别墅、宾馆等多个场景内，也逐渐成为了不少私人住户的优选，门锁对于家居安全来说格外重要，所以大部分人更信赖品牌产品，比如三星，那么三星智能锁怎么加盟呢，加盟需要多少钱，且听小编介绍，三星智能锁怎么加盟，三星智能锁是湖南思迈德科技有限公司管理的...。
在成人用品行业内部，性玩具及助情产品的市场规模常被估算为约20亿人民币，然而，根据市场分析，若不计入安全套等计生用品，中国成人用品市场的整体规模则高达约300亿人民币，这样的数据体系下，无人售货机产业顺应而生，并取得了诸多关注，那么无人售货机加盟需要多少成本，无人售货机发展红火运作于各地市场上，尽管难以准确获取中国情趣用品加盟市场的具...。
餐饮市场上不断地涌现出不同的食品，虽然说这些东西都有自己的特色，但是有的产品没有提高，增加食品的安全，有的产品就会让消费人群吃出亚健康的身体，消费者在食品安全方面要有很多的重视，而将就中式快餐的产品一直都是提高，增加食品的安全健康，是快餐市场的领头羊，品牌的知名度，从而让品牌的地位提升，加盟商想和将就中式快餐共从创造出利益，将就中式快...。
内裤作为贴身衣物，要具备安全和舒适的特点，才能够赢得市场认可，现有很多可供选择的内裤品牌，大卫博士健康内裤值得大家选择，现有关注到内裤项目的创业者，选择代理大卫博士健康内裤，于是来询问大卫博士健康内裤代理价格是多少，下面介绍的内容能够帮助解答这里的疑问，现有不同地区的创业者选择代理大卫博士健康内裤，要是选择在省会城市开设一家40平米的...。
万霖，北京，消防技术有限公司，成立于2014年3月，注册了北京CBD创立型技术企业，总部设在北京，专业从事消防智能家安系统，立足于家庭火灾报警系统、智能防水系统、智能厨房系统、智能电气监控系统，智能门窗系统等，做到家庭安全领域的一站式服务商，从家庭的安全管理精细化和扶持家庭安全的系统化，借助和推广大数据、云计算、物联网、地理信息等信息...。
不少人想开一家冷鲜肉加盟店，而选择口碑和实力较好的冷鲜肉品牌是较为关键的事情，雨润冷鲜肉有着较长时间的发展历史以及更加安全的品质扶持，选择加盟雨润冷鲜肉可以获得更多消费群体的认可，所以说是一个不错的智慧之选选择，而雨润冷鲜肉加盟费多少呢?如果选择加盟雨润冷鲜肉，那么势必要缴纳一定的加盟费用，雨润冷鲜肉加盟费多少?为了减轻智慧之选者的资...。
羊肉泡馍是西安特有的地方特色美味小吃，深受消费者的喜爱，去西安旅游的游客常常慕名而去，满意而归，因此，加盟市场上知名肉夹馍品牌成为了创业者们的选择，羊肉泡馍随着加盟商的增多，品牌店面也不断的增加，遍布了世界各地，那么羊肉泡馍怎么加盟在了解其加盟流程之前，先为大家简单介绍一下，羊肉泡馍符合了现代消费者注食品安全，提高生活质量和消费水平，...。
现在正是广大创业者很好的创业时机，人们不应该选择在安逸的年纪享受生活，并且没有好的条件也不可能享受，只有自己创业才能走向好生活，今天小编给大家介绍一个不赔的好项目，那就是醉品茶，醉品茶为何如此畅销呢，醉品茶不同于别家的是采用绿色安全的茶叶，每一道工序都是经过专人细心的检查才能检验合格，因此在质量上是非常合格的大家可合格选择，醉品茶创业...。
在爸爸妈妈眼里，孩子都是宝贝，是爱的承载，看着宝宝的笑脸，爸爸妈妈心里也是很高兴的，宝宝是一个家幸福的源泉，宝宝从小就在爸爸妈妈身边健康的成长，爸爸妈妈无微不至的关怀让宝宝不会收到一点的危害，看着宝宝一天天长大，那种喜悦是没有人可以体会的，但是宝宝上了幼儿园以后，作为家长很难时时刻刻注意孩子饮水安全，宝宝的新城代谢快，体制弱、免疫力差...。
真我Neo7将在12月11日发布，按照，老规矩，，真我在12月10日放出电商的价格预热烟雾弹，标注的是2498元，比K80，骁龙8Gen3，的2499元低了整整一元，查一下老黄历，真我GT5Pro的实际售价和烟雾弹差200元，真我GT6差价400元，真我GT7Pro差价400元，按照差价200到400推算，真我Neo7的起步价应该是2...。
陈怡然，杜克大学电子与计算机工程系教授，美国国家科学基金委，NSF，下一代移动网络与边缘计算研究院，Athena，主任，NSF新型与可持续计算，ASIC，校企合作研究中心，IUCRC，主任，杜克大学计算进化智能研究中心，DCEI，联合主任，陈怡然是清华大学电子系1994级本科生，2001年获得清华大学硕士学位，2005年获得普渡大学博...。
字节跳动裁撤战略投资团队，引发恐慌1月19日消息，多家媒体报道，字节跳动将整体裁撤投资业务，涉及员工约有百人，其中，战略投资负责人赵鹏远及战投板块部分员工或将放弃投资业务，并入战略业务；财务投资板块则将彻底解散，赵鹏远等5人转去总裁办，负责公司的整体战略；战略与投资部的部分人员转去业务线做战略，其余人员裁员；财务投资线人员大部分被裁掉...。
自今年5月份TensorRT8，EA版，EarlyAccess，尝鲜版，发布之后，英伟达终于在本周二发布了TensorRT8的正式版，作为支持英伟达GPU平台的深度学习推理框架，TensorRT8正式版与以往的版本相比，能够在在1.2毫秒内运行全球最广为采用的基于transforemer模型之一——BERT，Large，即将语言查询推...。
mloalg大神级投影控发表于2024，11，28调试投影仪的清晰度可以通过以下步骤进行，1.检查投影设备，确保投影仪的镜头、屏幕、幕布、色轮、光源等部件正常工作，连接良好，2.调整投影仪的焦距，使用投影仪自带的调焦环来调整焦距，使图像清晰，确保投影仪与投射表面之间的距离适合，避免过近或过远，3.调整投影图像的分辨率，投影仪通常支持多...。
