如何应对XcodeGhost事件?

本篇面对普通的智能手机用户,因此不会有太复杂的技术细节,希望能够提供风险预警和合理的保护措施指引。

什么是XcodeGhost事件?

简单说,有人在开发者的工具上做了一点手脚,凡是用这个动过手脚的开发工具上发布的App,均带有特定功能的后门。腾讯的安全团队在微信6.2.5发布版本上发现了这个问题后,提交给了中国国家计算机应急响应中心(CN-CERT),并及时发布了6.2.6的升级。随后在社交网络上,在网易承认他们的网易云音乐App受到感染后,这个问题逐渐得到关注,于18日开始得到大部分的国内安全、开发人员的关注。简单的过程可以参考 wiki: 2015年中国大陆苹果app泄漏事件,比较详细的细节可以参考针对此次XcodeGhost攻击行为的分析深扒300款iOS应用被植入恶意代码事件始末

初步分析

目前研究下来后门首先会收集使用者的初步信息,比如“应用名、应用版本号、系统版本号、语言、国家名、开发者符号、App安装时间、设备名称、设备类型”,提交到特定服务器。这里并没有什么太多的隐私信息,很大部分是因为苹果对于上App Store的App,有沙盒的限制,也就是说,只能访问特定的系统接口来获取信息,不能任意访问其他App和系统的其他部分,大部分的读写操作都是App范围内的区域。

这时,应对策略很简单,对于已经发现涉及的App,停止使用即可。至少从驻留任务中删除,如果担心的话,直接删除App即可。目前苹果已经将受到影响的App全部下架,升级版本一般会在2-4个星期后重新发布。

进一步研究

有安全团队进行了反编译深入研究,发现除了收集一些不太重要的信息外,这个幽灵还保留了几个比较危险的功能。
在提交信息得到应答后,可以根据应答做出几个自定义行为。这里的自定义行为包含弹出系统的对话框、利用URL的方式在App间进行跳转。
从苹果的系统限制来说,URL跳转是一个正常且受到保护的功能,比如在打电话的时候,会额外弹出一个窗口让用户确认,因此并不能造成明确的损害。但是这个功能灵活性大,能够跨越App之间传递一些数据,一旦发现某个App处理URL跳转的时候存在问题,那么就可以有针对性的进行攻击,导致严重后果。就算不是针对性攻击,通过URL直接安装或者替换一个App,也是存在可能性的,而这个不请自来的App没有经过苹果的审核流程,可能会存在不遵循沙盒限制的行为。
同样的,弹出系统对话框,也存在一些风险,比如如果仿冒一个内购的密码输入框等等,很可能会欺骗用户输入了他们的苹果账号的密码。我们知道,苹果账号很多都绑定了银行卡,或者有礼物卡的余额,一旦密码被盗就涉及到了钱的问题。
尽管这两点目前分析结果是风险不大:跳转功能只用来跳转到App Store的其他软件展示界面,用来引流;弹出对话框也只是用于消息提示,直接获取苹果账号可能还存在障碍。但一旦被充分利用了,就很危险了。

另有分析指出,在App内购完成后,这个幽灵会把返回的加密数据一并发送给服务器收集。由于数据是加密的,并不知道收集者如何利用或者解密数据。这个数据有点敏感,有可能包含你的信用卡信息和登录账号密码的某个等价授权。考虑到目前的云计算服务器的能力,一旦未来某天被解密出来后利用,还是有一点点小风险的。

综合上述讨论,修改苹果账号的密码是上策。

更多幽灵

经过几天发酵后,有消息说,有更多的开发工具受到影响。有两个有关游戏引擎的模块,也有被污染的版本,而游戏引擎是跨平台的。
这意味着三大智能平台手机,包括苹果的iOS、谷歌的Android和微软的Windows Phone均可能被幽灵染指。所不同的是,iOS系统限制严格,还不是很容易直接套取信息,而Android由于权限管理体系很多不能撤回,因此如果的确有可以执行的代码,那么其危害远大于iOS。

基于此,更好的办法就是,凡是在手机上输入过、临时保存过的所有密码,都要进行更换。

关于安全意识

在整个安全体系中,所有机制的安全级别提高后,往往人就成了安全的最薄弱环节。
幽灵躲在正常的App背后,无论做什么都是一件非常可怕的事情,因为它天然获取了人们对App的信任。
所以,提高人的安全意识是需要不懈余力地反复宣传的。开发者的错误让用户买单,这已经是一件非常丢人的事情了。

关于iOS的安全性

我仍然认为iOS在安全性和隐私保护上,比Android严格,因此就算有这样的幽灵事件,我还是觉得iOS的安全性高于Android。

作为手机用户我该做什么?

前文都已经给出恰当的建议了。最好呢,能够开启2步验证(如果支持),每个账号使用不同的密码。如果担心记不住密码,可以尝试使用Keepass Password Safe、1Password、Last Pass等密码管理软件或者服务。

推荐阅读更多精彩内容

  • Android 自定义View的各种姿势1 Activity的显示之ViewRootImpl详解 Activity...
    passiontim阅读 122,696评论 15 534
  • “接下来,有请实验小学贺萍老师带来的独舞《梦幻花》,掌声欢迎!” 为了庆祝晋岭市建市50周年,市政府新...
    阿酱子阅读 78评论 0 4
  • 于叽叽(原创) 转眼间,距上篇发文已经过去快5个月了,虽然主要是因为拖延癌晚期发病一直在各种放化疗(头发掉了一堆这...
    于叽叽阅读 516评论 3 11
  • 北方的风很急 吹走山脉,吹走流云 吹走纲常伦理,吹走韩魏赵楚燕齐 ​也吹走了爱情,吹走了遗世独立的可能性 南方的雨...
    老榕树仙翁阅读 41评论 2 2