幾天前，我們深入調(diào)查了一種名為XcodeGhost的新型惡意軟件，它位于App Store，可修改Xcode并感染iOS應(yīng)用。研究還發(fā)現(xiàn)，超過39款iOS應(yīng)用程序已被感染，其中包括像微信或滴滴打車這些非常流行的最新版本的應(yīng)用程序，預(yù)計(jì)數(shù)億iOS用戶可能已受到影響。此外，我們還分析了XcodeGhost的遠(yuǎn)程控制功能，攻擊者可以借此功能實(shí)施釣魚或進(jìn)一步的攻擊。更多關(guān)于XcodeGhost及其行為的細(xì)節(jié)將在下文中進(jìn)行披露。

· 應(yīng)對(duì)措施

自9月18日公布該信息以后，Palo Alto Networks公司已與蘋果、亞馬遜和百度達(dá)成合作，以共享樣本、威脅情報(bào)和研究。上述所有公司都已經(jīng)采取措施，以阻止攻擊，緩解安全威脅。

自9月18日開始，蘋果公司已經(jīng)開始刪除其應(yīng)用程序商店中被XcodeGhost感染的某些iOS應(yīng)用。蘋果公司還給受影響的開發(fā)商發(fā)送了一封郵件，通過官方的Xcode引導(dǎo)他們重新編譯他們的產(chǎn)品，并再次重新提交。此外，蘋果公司已經(jīng)承認(rèn)XcodeGhost為惡意軟件，并已經(jīng)影響到了App Store。

　　▲“鐵路12306”已被暫時(shí)從App Store中刪除

亞馬遜也已經(jīng)采取行動(dòng)，由于XcodeGhost能夠通過亞馬遜網(wǎng)絡(luò)服務(wù)中的C2服務(wù)器上傳隱私信息，并發(fā)送控制命令，所以，亞馬遜也關(guān)閉網(wǎng)絡(luò)服務(wù)中的所有C2服務(wù)器。

百度已經(jīng)刪除了其云文件共享服務(wù)中所有的惡意Xcode安裝文件，使得開發(fā)人員無意間下載被感染Xcode的幾率大為降低。

截止到9月21日，我們發(fā)現(xiàn)應(yīng)用程序商店中仍然存在一些已知被感染的iOS應(yīng)用，其中也包括中國(guó)聯(lián)通移動(dòng)辦公3.2版本。

　　▲周一上午一個(gè)已受感染的應(yīng)用程序在App Store中仍然可用

· 更多受感染的應(yīng)用程序已被披露

過去的幾天中，其他安全公司也聲稱，更多的iOS應(yīng)用程序已感染XcodeGhost。例如，奇虎360在其博客中列出了344款被感染的應(yīng)用程序。盤古團(tuán)隊(duì)也聲稱，已經(jīng)檢測(cè)到3418款被感染的不同的iOS應(yīng)用程序。盤古團(tuán)隊(duì)還發(fā)布了一款iOS應(yīng)用程序，可以用于檢測(cè)他們發(fā)現(xiàn)的木馬iOS應(yīng)用。

目前我們還沒有證實(shí)他們的結(jié)果。但是，考慮到自2015年3月份以來惡意軟件Xcode安裝文件傳播的情況，3月份也推出了C2服務(wù)器，與此同時(shí)，搜索引擎的結(jié)果也受到感染，因此，如果iOS應(yīng)用程序受影響的人數(shù)遠(yuǎn)遠(yuǎn)大于我們的想象，倒也不足為奇。

· 給iOS用戶的安全建議

iOS用戶可以安裝盤古團(tuán)隊(duì)的應(yīng)用程序(在iPhone或iPad中直接訪問x.pangu.io)，以檢測(cè)其安裝的應(yīng)用程序是否受到感染。如果檢測(cè)到被感染的應(yīng)用程序，我們建議用戶可以暫時(shí)刪除，有新的可用版本時(shí)，再下載使用。

另外，有兩種方法也有助于減輕惡意軟件的潛在攻擊。一是，為您的Apple ID設(shè)定兩步驗(yàn)證，二是，避免使用不信任的WiFi網(wǎng)絡(luò)。

即使完全遵守上述所有的步驟，對(duì)于iOS用戶來說保護(hù)自己免受此類惡意軟件的攻擊仍是一種挑戰(zhàn)。此次XcodeGhost事件備受關(guān)注，也激勵(lì)了蘋果和開發(fā)者在未來防止類似的攻擊。

閱讀全文，請(qǐng)登錄:

http://researchcenter.paloaltonetworks.com/2015/09/more-details-on-the-xcodeghost-malware-and-affected-ios-apps/?utm_campaign=Palo%20Alto%20Networks%20Blog%20%C2%BB%20Unit%2042_09.21.15&utm_medium=email&utm_source=Eloqua&elq=f1e00d6135214fee9e5278e5ddcb4d36&elqCampaignId=2849&elqaid=5686&elqat=1&elqTrackId=1d9bbfbed80640d3be670e0f243a5b79