事件到底是什么样的 完整的XCodeGhost 幽灵入侵 (事件到底是什么)
【编者按】本文来自腾讯安全应急中心，作者Gmxp。
前言
这几天安全圈几乎被XCodeGhost事件刷屏，大家都非常关注，各安全团队都很给力，纷纷从不同角度分析了病毒行为、传播方式、影响面积甚至还人肉到了作者信息。拜读了所有网上公开或者半公开的分析报告后，我们认为，这还不是全部，所以我们来补充下完整的XCodeGhost事件。
由于行文仓促，难免有诸多错漏之处，还望同行批评指正。
事件溯源
事情要追溯到一周前。
9月12日，我们在跟进一个bug时发现有APP在启动、退出时会通过网络向某个域名发送异常的加密流量，行为非常可疑，于是终端安全团队立即跟进，经过一个周末加班加点的分析和追查，我们基本还原了感染方式、病毒行为、影响面。
9月13日，产品团队发布了新版本。同时考虑到事件影响面比较广，我们立即知会了CNCERT，CNCERT也马上采取了相关措施。所以从这个时间点开始，后续的大部分安全风险都得到了控制——可以看看这个时间点前后非法域名在全国的解析情况。
9月14日，CNCERT发布了这个事件的预警公告。我们也更新了移动APP安全检测系统“金刚”。
9月16日，我们发现AppStore上的TOP5000应用有76款被感染，于是我们向苹果官方及大部分受影响的厂商同步了这一情况。
9月17日，嗅觉敏锐的国外安全公司paloalto发现了这个问题，并发布第一版分析报告，阿里移动安全也发布了分析报告。
接下来的事情大家都知道了，XCodeGhost事件迅速升温，成为行业热点，更多的安全团队和专家进行了深入分析，爆出了更多信息。
被遗漏的样本行为分析
1）在受感染的APP启动、后台、恢复、结束时上报信息至黑客控制的服务器
上报的信息包括：APP版本、APP名称、本地语言、iOS版本、设备类型、国家码等设备信息，能精准的区分每一台iOS设备。
上报的域名是icloud-analysis.com，同时我们还发现了攻击者的其他三个尚未使用的域名。
（上传机器数据的恶意代码片段）
2）黑客可以下发伪协议命令在受感染的iPhone中执行
黑客能够通过上报的信息区分每一台iOS设备，然后如同已经上线的肉鸡一般，随时、随地、给任何人下发伪协议指令，通过iOS openURL这个API来执行。
相信了解iOS开发的同学都知道openURL这个API的强大，黑客通过这个能力，不仅能够在受感染的iPhone中完成打开网页、发短信、打电话等常规手机行为，甚至还可以操作具备伪协议能力的大量第三方APP。实际上，iPhone上的APP如果被感染，完全可以理解为黑客已经基本控制了你的手机！
（控制执行伪协议指令的恶意代码片段）
3）黑客可以在受感染的iPhone中弹出内容由服务器控制的对话框窗口
和远程执行指令类似，黑客也可以远程控制弹出任何对话框窗口。至于用途，将机器硬件数据上报、远程执行伪协议命令、远程弹窗这几个关键词连起来，反正我们是能够通过这几个功能，用一点点社工和诱导的方式，在受感染的iPhone中安装企业证书APP。装APP干什么？还记得几个月之前曝光的Hacking Team的iPhone非越狱远控（RCS）吗？
（控制远程弹窗的恶意代码片段）
4）远程控制模块协议存在漏洞，可被中间人攻击
在进行样本分析的同时，我们还发现这个恶意模块的网络协议加密存问题，可以被轻易暴力破解。我们尝试了中间人攻击，验证确实可以代替服务器下发伪协议指令到手机，成为这些肉鸡的新主人。
（存在安全漏洞的协议解密代码片段）
值得一提的是，通过追查我们发现植入的远程控制模块并不只一个版本。而现已公开的分析中，都未指出模块具备远程控制能力和自定义弹窗能力，而远程控制模块本身还存在漏洞可被中间人攻击，组合利用的威力可想而知。这个事件的危害其实被大大的低估了。
感染途径
分析过程中我们发现，异常流量APP都是大公司的知名产品，也是都是从AppStore下载并具有官方的数字签名，因此并不存在APP被恶意篡改的可能。随后我们把精力集中到开发人员和相关编译环境中。果然，接下来很快从开发人员的xcode中找到了答案。
我们发现开发人员使用的xcode路径Xcode.app/Contents/Developer/PlatForms/iPhoneOS.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/下，存在一个名为CoreServices.framework的“系统组件”，而从苹果官方下载的xcode安装包，却不存在这些目录和“系统组件”。
（被感染恶意代码的xcode包路径）
原来开发人员的xcode安装包中，被别有用心的人植入了远程控制模块，通过修改xcode编译参数，将这个恶意模块自动的部署到任何通过xcode编译的苹果APP（iOS/Mac）中。
通过百度搜索“xcode”出来的页面，除了指向苹果AppStore的那几个链接，其余的都是通过各种id（除了coderfun，还有使用了很多id，如lmznet、jrl568等）在各种开发社区、人气社区、下载站发帖，最终全链到了不同id的百度云盘上。为了验证，团队小伙伴们下载了近20个各版本的xcode安装包，发现居然无一例外的都被植入了恶意的CoreServices.framework，可见投放这些帖子的黑客对SEO也有相当的了解。
（XCodeGhost作者在知名论坛上发布xcode的下载帖）
进一步来看，攻击者做到的效果是只要是通过搜索引擎下载xcode，都会下载到他们的XCodeGHost，还真的做到了幽灵一样的存在。
影响到底多大？
在清楚危害和传播途径后，我们意识到在如此高级的攻击手法下，被感染的可能不只一个两个APP，于是我们马上对AppStore上的APP进行检测。
后记
经过这一事件后，开发小伙伴们纷纷表示以后只敢下官方安装包，还要MD5和SHA1双校验。而这个事件本身所带来的思考，远不止改变不安全的下载习惯这么简单。
经过这两年若干次攻击手法的洗礼后，我们更加清醒的意识到——
总结来看，移动互联网安全之路任重道远。当然，这里的危机也是安全行业的机遇。
原创文章，未经授权禁止转载。详情见 转载须知 。
淘宝合作伙伴后台
重庆国威电气有限公司是一家集开发、生产、销售成套电气设备为一体的专业化企业，主要生产及销售：各种重庆电缆桥架、配电箱、开关柜以及重庆母线槽、KBG线管等。
兴业银行官方网站。兴业银行（股票代码：601166）是经国务院、中国人民银行批准成立的首批股份制商业银行之一，目前已发展成为以银行为主体，涵盖信托、金融租赁、基金、期货、资产管理、消费金融、理财、数字金融、研究咨询等在内的现代综合金融服务集团，不断完善覆盖境内境外、线上线下的多元化服务网络，已成为国内系统重要性银行。
专为无货源卖家开发的上货/采购/售后等全流程自动化工具，软件支持目前常见电商平台，使用门槛低，操作人性化，全程自动化运行，并将为每家店铺接入国际化高智能AI客服。
程力专用汽车股份有限公司销售二十二分公司
绿库科技（原睿冷，成立于2016年）是一家致力于提升冷库后市场数智化能力的科技服务平台企业。面向冷链园区、冷库业主、维保服务商、设备配件耗材生产企业。
金港物流,23年坚持只做好中港物流进出口,主营东莞到香港物流,散货运输到香港,中港散货出口,一般贸易拼车/包车进出口代理,香港仓储、配送、报关、清关、商检等，代办各种手续
河南粮院专业研发生产玉米加工设备,玉米加工机械,玉米石磨磨粉机,玉米制粉机,玉米脱皮机.玉米设备厂家,玉米加工机械价格,玉米深加工机械。购粮院玉米面加工设备享受**农机补贴,咨询电话:400-966-9225
鲜牛加速器采用自主研发”XN-硬核”黑科技极速引擎,海外专线,加速稳定,免费试用,是新二代网游加速器产品!有效解决网游延迟,掉线,卡机等网络问题,让你低延迟,零束缚的畅快体验游戏乐趣!支持GTA5,荒野大镖客2,怪物猎人:世界,僵尸部队,文明6,逃离塔科夫,使命召唤,三国:全面战争等上千款3A大作网游产品！
程力专用汽车股份有限公司抑尘车专业生产销售:雾炮车,风送式喷雾机,扫路车,工地喷雾机,高压清洗车,吸污吸粪车,多功能抑尘车,洒水车,护栏清洗车,除雪车,除雪铲,除雪滚扫,融雪撒布机,除雪设备等系列,厂家官方销售电话:13677218899包经理
★唐山牙博士口腔医院★设有牙齿美容、牙齿美白、牙齿正畸、牙齿种植、牙齿治疗、牙齿护理等核心项目,唐山地区专业的口腔医院。免费咨询热线:0315-5029688!
近日，松松团队一行6人，前往北京国家会议中心去参加了百度2019AI开发者大会小程序论坛，整个会议主要围绕百度智能小程序与搜索之间的相互关联展开，探讨百度智能小程序究竟可以给搜索和网站带来什么帮助，相信，这也是很多站长所关心的问题，会议主要演讲嘉宾，由百度高级副总裁沈抖和百度智能小程序开发团队负责人员组成，整个会议现场基本爆满，可见大...。
微软终于发布了Office2016forMac预览版，适配Retina高分屏并支持全屏模式，过去的一年里，微软在不遗余力地将Office办公软件带到新的平台——iPhone，iPad，Android手机和平板，只是微软唯独没有发布新版的OfficeforMac，尽管此前它已经推出了新版Outlook和OneNote的客户端，最主要的W...。
自2012年优贝乐国际儿童教育中心正式启动全国加盟连锁业务以来，优贝乐凭借合格的口碑、成功的推广和先进的理念，在前期声誉积累的基础上，加盟校区如雨后春笋般签单和开业！2017年6月，位于山西太原万柏林区迎来了一位带着满满教育情怀的智慧之选人——杜秀玲女士，该校目前已在总部运营的指导下，正在紧张的进行校区装修、市场推广、招聘培训等工作筹...。
每一个人都会随着年龄逐渐的衰老，其实衰老明显的表现便是皮肤逐渐的变松，开始出现更多的皱纹，而近些年一种叫做原液的产品开始受到很多人的关注，听很多人说这种物质能够很好的改善皮肤的状态，究竟它能不能很好的发挥维持皮肤优佳状态的作用呢，那么就算是广告做的很好，也终将会被市场淘汰的，而原液之所以有那么好的口碑以及发展，根本的原因当然是它确实起...。
消息，5月9日，真我realme正式推出新品真我GTNeo6，真我GTNeo6搭载高通最新旗舰移动平台第三代骁龙8s，并在游戏、屏幕、闪充、体验等多方面有着较为明显的提升，配置上，真我GTNeo6搭载第三代骁龙8s移动平台，继承第三代骁龙8旗舰同款芯片架构，Cortex，X4超大核最高主频至高可达3.0GHz，辅以UFS4.0，...。
发表在三星投影仪2024，2，2810，28三星P7激光电视是一款超短焦设备，采用激光光源，拥有出色画质和性能，具体三星P7激光电视怎么样呢，下面就来详细了解一下，看看三星P7激光电视参数配置究竟如何，是否可用于构建家庭影院，三星P7激光电视怎么样，1.光学参数在亮度方面，三星P7激光电视的实际亮度达到2200ANSI流明，提供高亮画...。
文字链接认证代码普通联盟标志认证代码企业广告联盟标志认证代码广告联盟评测代码说明，本页面的认证代码为互信广告联盟专用评测代码，站长需懂简单html知识，直接复制代码粘贴到联盟网站相应页面即可使用，本代码不适用于其他广告联盟网站请勿获取！文字认证，文字链接代码认证适用所有类型的广告联盟，复制代码后放在互信广告联盟网站首页底部或友情链接位...。
7月14日，在安徽省阜南县，王家坝水文站上班人员应用仪器测量淮河流量，受继续强降雨影响，7月13日，淮河构成2024年第1号洪水，淮河支流王家坝站水位超越警戒水位，截至7月14日18时，淮河支流王家坝站水位27.86米，超越警戒水位0.36米，目前，安徽省阜阳市阜南县各部门采取系罗列措，亲密监测水情、增强巡堤查险、空虚防汛物资，全力做...。
可以到网络软件核心下载，1、在网络首页输入，网络软件核心，，关上网络软件核心后，在搜查框输入，AdobePhotoshop，启动搜查，2、在搜查结果里可以看到有各个版本的Photoshop可供下载，3、以下以下载最新版AdobePhotoShopCS6为例，点击题目关高低载的概略页面，检查自己的系统能否允许这款软件，确定可以在电脑上经...。
1、新手选cc版本假设是新手想学习Photoshop，倡导间接从PhotoshopCC入手，不论是哪个版本的ps，基本色能简直都是一样的，在把握基本的操作之后再去尝试经常使用新的性能，也更容易去了解，另外，因为cc版本是cc家族中最早的版本，性能上相对要轻浮很多，这样咱们在经常使用时，占用的物理资源也不会那么大，缩小经常使用时卡顿现象...。
记者从福建海事局得知，往年上半年，截至6月30日，，厦门至金门、泉州至金门、福州马尾至马祖、福州黄岐至马祖等4条，小三通，客运航线共发航客船4101班次，同比增长124%；运送旅客602548人次，同比增长189%，自2023年1月7日两岸，小三通，客运航线复航以来，共发航客船达9351班次，运送旅客达1365429人次，海事部门对，...。
美团除了可以点外卖，还可以进行借款。不过这个借款是有限额的，那么要在哪里才能查看美团额度呢？下面就是具体的操作方法，想要了解美团额度的朋友们就跟着小编来看看吧。
南海网12月3日消息，记者王子遥，2024年第27届中国，海南，国际热带农产品冬季交易会，以下简称，冬交会，将于12月5日，8日在海南国际会展中心举办，记者从本届冬交会组委会获悉，广西、深圳将以展团形式亮相本届冬交会，组织多家企业携优质产品共同参展，积极参加展会期间各类交流洽谈与合作活动，据了解，广西展团参展企业以茶类企业为主，包括...。
城市的形成，无论多么复杂，无外乎两种，因，城，而，市，和因，市，而，城，前者是城墙高筑，集市兴起，遂而繁荣；后者是贸易盛行，处所固定，遂有边界，随着更多的政治、经济、文化、法治的内容增加进来之后，城市文明逐渐走向高级，人类也在完成某种意义上的‘城市大迁徙，现在的城市，完成了地理信息学的定义、建筑规划学的定义、政治区域上的定义，正走...。
美东时间11月26日，自动驾驶公司小马智行正式在纳斯达克证券交易所挂牌上市，股票代码为，PONY，，成为，全球Robotaxi第一股，在扩大发行规模后，若承销商的超额配售权悉数行使，小马智行将以每股13美元的发行区间价上限发行总计2300万股美国存托股票，ADS，每份ADS对应1份普通股，，融资额可达2.99亿美元，成为今年以来美股...。
俞敏洪首次披露被绑架细节，被注射兽用麻醉针，7人中仅他幸存，俞敏洪曾在新书，我曾在崩溃边缘，中第一次谈及自己创业初期的两次被绑架经历和细节，1993年，北京大学毕业的俞敏洪不看好其他培训学校的办学理念，自立门户成立新东方学校，在俞敏洪的努力下，新东方逐渐变得有起色，租用北京的一个度假村开起了暑假班，度假村的老板名叫张北，在出租度假村之...。
真正爱上一团体之后，感情就会变得十分无私，每团体都宿愿自己的另一半可以永世一世都只爱自己一团体，可是理想上，有很多人在恋爱的环节中很花心，禁不住外界的诱惑，遇到这样一团体，还真的是情路崎岖啊！提及十二星座中哪个星座最花心，很多人都会众口一词的说出双鱼座的男人最花心了，因此才会让很多人有了我恨双鱼座的想法，当天咱们就来一摸索竟吧，同时顺...。
