XcodeGhost
XcodeGhost (и вариант XcodeGhost S) — это модифицированные версии среды разработки Apple Xcode , которые считаются вредоносным ПО . [1] Впервые это программное обеспечение привлекло широкое внимание в сентябре 2015 года, когда ряд приложений из Китая содержали вредоносный код. [2] Это считалось «первой крупномасштабной атакой на Apple App Store ». [3] по данным Би-би-си. Проблемы были впервые выявлены исследователями из Alibaba , ведущей компании электронной коммерции в Китае. [3] По данным FireEye, заражено более 4000 приложений, что намного больше, чем 25, первоначально признанных Apple. [4] включая приложения от авторов за пределами Китая.
Охранная фирма Palo Alto Networks предположила, что из-за более низкой скорости сети в Китае разработчики в стране искали локальные копии среды разработки Apple Xcode и наткнулись на измененные версии, которые были размещены на внутренних веб-сайтах. Это открыло возможность для внедрения вредоносного ПО в громкие приложения, используемые на устройствах iOS. [5] [6]
Даже через два месяца после первых сообщений охранная фирма FireEye сообщила, что сотни предприятий все еще используют зараженные приложения и что XcodeGhost остается «постоянной угрозой безопасности». [7] [8] Фирма также обнаружила новый вариант вредоносного ПО и назвала его XcodeGhost S; Среди зараженных приложений были популярный мессенджер WeChat и Netease приложение Music 163 . [9]
Открытие
[ редактировать ]16 сентября 2015 г. китайский разработчик iOS упомянул [10] в социальной сети Sina Weibo говорится, что вредоносное ПО в Xcode внедряет сторонний код в приложения, скомпилированные с его помощью.
Затем исследователи Alibaba опубликовали [11] подробную информацию о вредоносном ПО и назвал его XcodeGhost.
17 сентября 2015 г. компания Palo Alto Networks опубликовала несколько отчетов о вредоносном ПО. [12] [13] [14] [15]
Операция
[ редактировать ]Распространение
[ редактировать ]Из-за низкой скорости загрузки с серверов Apple китайские разработчики iOS загружали Xcode со сторонних веб-сайтов, таких как Baidu Yun (теперь называемая Baidu WangPan), службы облачного хранения, размещенной на Baidu, или получали копии от коллег. Злоумышленники воспользовались этой ситуацией, распространяя скомпрометированные версии на таких файлообменниках. [16]
Palo Alto Networks подозревает, что вредоносное ПО стало доступно в марте 2015 года. [15]
Вектор атаки
[ редактировать ]Происхождение
[ редактировать ]
Злоумышленник использовал бэкдор-атаку компилятора . Новизной этой атаки является модификация компилятора Xcode. Согласно документам, обнародованным Эдвардом Сноуденом , исследователи безопасности ЦРУ из Sandia National Laboratories заявили, что они «создали модифицированную версию собственного инструмента разработки программного обеспечения Apple, Xcode, который может проникать через бэкдоры наблюдения в любые приложения или программы, созданные с помощью этого инструмента». [17]
Измененные файлы
[ редактировать ]Известные версии XcodeGhost добавляют дополнительные файлы. [12] к исходному приложению Xcode:
- Базовая платформа сервисов на платформах iOS, симуляторе iOS и macOS.
- Фреймворк IDEBundleInjection добавлен на платформы iOS, симулятор iOS и macOS.
XcodeGhost также изменил компоновщик для связывания вредоносных файлов. [15] в скомпилированное приложение. Об этом шаге сообщается в журнале компиляции, но не в Xcode IDE .
Приложения для iOS и macOS уязвимы для XcodeGhost.
Развертывание
[ редактировать ]XcodeGhost скомпрометировал уровень CoreServices, который содержит часто используемые функции и платформы, используемые приложением. [18] Когда разработчик компилирует свое приложение с помощью скомпрометированной версии Xcode, вредоносные CoreServices автоматически интегрируются в приложение без ведома разработчика.
Тогда вредоносные файлы добавят дополнительный код в классы UIWindow и UIDevice. Класс UIWindow — это «объект, который управляет и координирует виды, отображаемые приложением на экране устройства». [19]
Класс UIDevice предоставляет одноэлементный экземпляр, представляющий текущее устройство. Из этого экземпляра злоумышленник может получить информацию об устройстве, такую как назначенное имя, модель устройства, а также имя и версию операционной системы. [20]
Поведение на зараженных устройствах
[ редактировать ]Риски безопасности дистанционного управления
[ редактировать ]XcodeGhost можно управлять удаленно с помощью команд, отправленных злоумышленником с сервера управления и контроля через HTTP. Эти данные шифруются с помощью алгоритма DES в режиме ECB . Мало того, что этот режим шифрования известен как слабый, ключи шифрования также можно найти с помощью обратного проектирования. Злоумышленник может выполнить атаку «человек посередине» и передать на устройство поддельный HTTP-трафик (например, чтобы открыть диалоговое окно или открыть определенное приложение).
Кража информации об устройстве пользователя
[ редактировать ]При запуске зараженного приложения с помощью iPhone или симулятора внутри Xcode XcodeGhost автоматически собирает такую информацию об устройстве, как:
- Текущее время
- Имя текущего зараженного приложения
- Идентификатор пакета приложения
- Имя и тип текущего устройства
- Язык и страна текущей системы
- текущего устройства UUID
- Тип сети
Затем вредоносная программа зашифрует эти данные и отправит их на сервер управления и контроля . Сервер отличается от версии к версии XcodeGhost; Palo Alto Networks удалось найти три URL-адреса серверов:
- http://init.crash-analytics.com
- http://init.icloud-diagnostics.com
- http://init.icloud-analysis.com
Последний домен также использовался в iOS-зловреде KeyRaider . [12]
Чтение и запись из буфера обмена
[ редактировать ]XcodeGhost также может при каждом запуске зараженного приложения сохранять данные, записанные в буфере обмена iOS. Вредоносная программа также способна изменять эти данные. Это может быть особенно опасно, если пользователь использует приложение для управления паролями.
Взлом открытия определенных URL-адресов
[ редактировать ]XcodeGhost также может открывать определенные URL-адреса при запуске зараженного приложения. Поскольку Apple iOS и macOS работают с механизмом URL-адресов связи между приложениями. [21] (например, «whatsapp://», «Facebook://», «iTunes://»), злоумышленник может открыть любые приложения, установленные на скомпрометированном телефоне или компьютере, в случае зараженного приложения macOS. Такой механизм может быть опасен для приложений управления паролями или даже для фишинговых веб-сайтов.
Диалоговое окно с запросом оповещения
[ редактировать ]В своей текущей известной версии XcodeGhost не может вызывать диалоговые окна предупреждений на пользовательском устройстве. [15] Однако для этого требуются лишь незначительные изменения.
Используя класс UIAlertView со свойством UIAlertViewStyleLoginAndPasswordInput, зараженное приложение может отображать фальшивое диалоговое окно с предупреждением, которое выглядит как обычная проверка учетных данных пользователя Apple ID, и отправлять входные данные на сервер управления и контроля.
Зараженные приложения
[ редактировать ]Среди всех китайских приложений были заражены приложение для обмена мгновенными сообщениями, банковские приложения, приложение мобильного оператора, карты, приложения для торговли акциями, приложения для социальных сетей и игры. Также были заражены популярные приложения, используемые во всем мире, такие как WeChat , популярное приложение для обмена мгновенными сообщениями, CamScanner , приложение для сканирования документов с помощью камеры смартфона или WinZip .
Команда Pangu заявила, что насчитала 3418 зараженных приложений. [22]
Fox-it, охранная компания из Нидерландов, сообщает, что они обнаружили тысячи вредоносного трафика за пределами Китая. [23] [24]
Удаление
[ редактировать ]Нейтрализация серверов управления и контроля и скомпрометированных версий Xcode
[ редактировать ]После статьи Alibaba и Palo Alto Networks Amazon отключил все серверы, которые использовались XcodeGhost. Baidu также удалила все вредоносные установщики Xcode из своего облачного хранилища.
Удаление вредоносных приложений из App Store
[ редактировать ]18 сентября 2015 года Apple признала существование вредоносного ПО и начала просить всех разработчиков взломанных приложений скомпилировать свои приложения с чистой версией Xcode, прежде чем снова отправлять их на проверку.
Команда Pangu выпустила инструмент [25] для обнаружения зараженных приложений на устройстве, но, как и другие антивирусные приложения, он не будет работать на устройстве, на котором не был сделан джейлбрейк . Apple не допускает размещение антивирусных приложений в iOS App Store. [26]
Проверка версии Xcode
[ редактировать ]Apple советует разработчикам Xcode проверить [27] [28] свою версию Xcode и всегда активировать Gatekeeper на своем компьютере.
Ссылки
[ редактировать ]- ^ Дэн Гудин (21 сентября 2015 г.). «Apple борется после того, как 40 вредоносных приложений «XcodeGhost» заполонили App Store» . Арс Техника . Проверено 5 ноября 2015 г.
- ^ Джо Россиньоль (20 сентября 2015 г.). «Что нужно знать о вредоносном ПО для iOS XcodeGhost» . macrumors.com . Проверено 5 ноября 2015 г.
- ^ Jump up to: а б «Apple App Store заражен вредоносным ПО XcodeGhost в Китае» . Новости Би-би-си . 21 сентября 2015 г. Проверено 22 сентября 2016 г.
- ^ «Защита наших клиентов от XcodeGhost» . Огненный Глаз . Проверено 9 ноября 2021 г.
- ^ Байфорд, Сэм (20 сентября 2015 г.). «Apple удаляет зараженные вредоносным ПО приложения из App Store после серьезного нарушения безопасности» . Грань . Проверено 5 ноября 2015 г.
- ^ Джеймс Темпертон (21 сентября 2015 г.). «Взлом Apple App Store: атака XcodeGhost поразила Китай (Wired UK)» . Проводная Великобритания . Проверено 5 ноября 2015 г.
- ^ Кирк, Джереми (4 ноября 2015 г.). «Многие предприятия в США до сих пор используют приложения Apple, зараженные XcodeGhost, — говорит FireEye» . Инфомир . Проверено 5 ноября 2015 г.
- ^ Бен Лавджой (4 ноября 2015 г.). «Модифицированная версия XcodeGhost остается угрозой, поскольку взломанные приложения обнаружены на 210 предприятиях» . 9to5Mac . Проверено 5 ноября 2015 г.
- ^ Ён Кан; Чжаофэн Чен; Раймонд Вэй (3 ноября 2015 г.). «XcodeGhost S: новое поколение появляется в США» . Огненный Глаз . Проверено 5 ноября 2015 г.
XcodeGhost S: новая порода появляется в США
- ^ «Первое упоминание о XcodeGhost на SinaWeibo» . Сина Вейбо . 17 сентября 2015 года . Проверено 11 ноября 2015 г.
- ^ «В компиляторе Xcode есть призрак — образец анализа XcodeGhost-уязвимости-исследования безопасности-Alibaba Security» . Проверено Архивировано из оригинала 19 апреля 2016 г. 11 ноября 2015 г.
- ^ Jump up to: а б с Клод Сяо (17 сентября 2015 г.). «Новая вредоносная программа XcodeGhost изменяет Xcode, заражает приложения Apple iOS и попадает в App Store — блог Palo Alto Networks» . Блог Palo Alto Networks . Проверено 11 ноября 2015 г.
- ^ Клод Сяо (18 сентября 2015 г.). «Вредоносное ПО XcodeGhost заражает 39 приложений iOS, включая WeChat, затрагивая сотни миллионов пользователей — блог Palo Alto Networks» . Блог Palo Alto Networks . Проверено 11 ноября 2015 г.
- ^ Клод Сяо (18 сентября 2015 г.). «Обновление: злоумышленник XcodeGhost может выманивать пароли и открывать URL-адреса через зараженные приложения — блог Palo Alto Networks» . Блог Palo Alto Networks . Проверено 11 ноября 2015 г.
- ^ Jump up to: а б с д Клод Сяо (21 сентября 2015 г.). «Более подробная информация о вредоносном ПО XcodeGhost и затронутых приложениях для iOS — блог Palo Alto Networks» . Блог Palo Alto Networks . Проверено 11 ноября 2015 г.
- ^ Томас Фокс-Брюстер (18 сентября 2015 г.). «Хакеры проникли в Apple App Store с вредоносным ПО, чтобы украсть пароли iCloud » . Форбс . Проверено 11 ноября 2015 г.
- ^ Джереми Скахилл; Джош Бегли (10 марта 2015 г.). «Кампания ЦРУ по краже секретов Apple» . Перехват . Проверено 11 ноября 2015 г.
- ^ «Уровень основных сервисов» . разработчик.apple.com . Проверено 11 ноября 2015 г.
- ^ «Справочник классов UIWindow» . разработчик.apple.com . Проверено 11 ноября 2015 г.
- ^ «Справочник классов UIDevice» . разработчик.apple.com . Проверено 11 ноября 2015 г.
- ^ «Взаимодействие между приложениями» . разработчик.apple.com . Проверено 11 ноября 2015 г.
- ^ «Команда Pangu на Weibo» . 21 сентября 2015 года . Проверено 11 ноября 2015 г.
- ^ «Совместное исследование Fox-IT и Palo Alto Networks выявило популярные приложения, зараженные вредоносным ПО» . Лиса-это . 18 сентября 2015 г. Архивировано из оригинала 12 августа 2016 г. Проверено 11 ноября 2015 г.
- ^ Томас, Брюстер (18 сентября 2015 г.). «Хакеры проникли в Apple App Store с вредоносным ПО, чтобы украсть пароли iCloud » . Форбс . Архивировано из оригинала 25 ноября 2016 г.
- ^ «Обнаружение вируса Xcode, обнаружение вируса XcodeGhost — джейлбрейк Pangu» x.pangu.io Проверено 11 ноября 2015 г.
- ^ Хаслам, Карен. «Почему эксплойт XcodeGhost в приложении iOS не должен вас беспокоить» . Macworld Великобритания . Проверено 24 сентября 2017 г.
- ^ «Вопросы и ответы о XcodeGhost» . Apple Архивировано из оригинала 14 ноября 2015 года . Проверено 17 июня 2016 года .
- ^ «Проверка вашей версии Xcode — Новости и обновления — Apple Developer» . разработчик.apple.com . Проверено 11 ноября 2015 г.