本篇文章2151字,读完约5分钟

大量开发人员用“毒药”开发应用,“妈妈”病了。“孩子”能生存吗?

最近,很多苹果手机用户都在忙着删除手机中“中毒”的应用程序,而ios系统不再安全的事实已经引起了很多人的恐慌。在整个事件中,ios开发者从非苹果官方渠道下载的xcode开发者是大规模应用“中毒”的一个重要原因。真正需要警惕的是国内ios开发商安全操作规范中的“漏洞”。

事件回放

数亿只苹果在大面积中毒。ios首次遭遇安全危机

9月17日,外国证券公司paloalto发布了第一版xcodeghost分析报告,随后阿里移动证券在中国发布了相关报告,引发了国内证券界的“大地震”。据不完全统计,中国应用商店共有近100款常用软件,包括微信、滴滴打车、12306、网易云音乐、高德地图、中国联通手机营业厅等。被注入了这个恶意程序。威胁了至少上亿ios用户的个人信息。

数亿苹果用户中毒:一场本可以避免的悲剧

整个事件的起因是带有“后门”的xcode(苹果发布的ios和os x开发者)是由恶意开发者制作并上传到网络上的。ios开发者通过非苹果官方渠道下载了这些变体Xcodes,开发了软件,并把它们放在应用商店里。用户将这些带有恶意代码的应用程序同时下载到他们的手机上,这最终导致了广泛的传播。

这个恶意软件程序目前被命名为xcodeghost,这很可怕,因为所有可以运行ios软件的iphone、ipad和ipod touch都可能被感染,不管苹果的手机是否越狱。根据腾讯安全应急中心的分析报告,该恶意程序会在受感染的应用程序启动、恢复和结束时向黑客控制的服务器报告信息,包括版本、名称、本地语言、ios版本、设备类型、国家代码和其他设备信息。不仅如此,在后台,黑客可以通过报告的信息区分每一个ios设备,并将其转化为“肉鸡”(计算机、手机等)。由黑客远程控制)。黑客可以随时随地发布伪协议指令,这不仅可以完成传统的手机行为,如打开网页、发送短信和在受感染的手机上打电话,还可以操作大量具有伪协议功能的第三方应用。

数亿苹果用户中毒:一场本可以避免的悲剧

黑客技术高超

这应该与黑色产业链有关

事件发生后,自称是“xcodeghost”创始人的新浪微博用户@xcodeghost-author发了一封道歉信,称xcodeghost源于自己的一次实验,获得的数据实际上都是应用程序的基本信息:应用程序名称、应用程序版本号、系统版本号、语言、国家名称、开发者符号、应用程序安装时间、设备名称、设备类型,此外,何也承认出于自私,在代码中加入了广告功能。 希望在将来推广他的应用程序,但他从一开始就没有使用广告功能,直到服务器最终关闭。 十天前,他主动关闭了服务器并删除了所有数据,对任何人都没有任何影响。“xcodeghost不会影响任何应用程序的使用,也不会获取私人数据。这只是一个死代码。”

数亿苹果用户中毒:一场本可以避免的悲剧

然而,在安全界看来,这种黑客行为需要制造商的高技术水平,这不是普通人能做到的。它应该由一个团队来操作,这可能与黑色产业链有关。安全人士韩认为,“这种黑客直接将木马代码嵌入ios开发工具的源代码,在中国还是第一次,一旦打开这扇门,风险就不言而喻了。”

应用程序开发环境中毒了

除了黑客的恶意攻击之外,ios开发者同样要为整个事件负责。几个国内安全实验室的报告指出,xcodeghost事件的罪魁祸首是开发人员从非官方来源下载的xcode,正是在这些变体xcode中发现了官方版本中不存在的“系统组件”。

为什么国内开发商放弃官方版本,选择一般意义上的“盗版”?互联网上大多数开发者给出的解释是官方版本的下载速度太慢,所以他们更喜欢从第三方下载渠道使用xcode。因为从最终的操作环境来看,它们之间几乎没有什么区别。

对此,《it时报》记者采访了几个ios开发者,得出了不同的结论。"当开发商说他们太慢时,他们可能在寻找借口."在一位来自广州的ios开发者看来,下载xcode不可避免地会偶尔被卡住,就像iphone用户进入应用商店一样。“开发人员有时进入xcode的速度很慢,尤其是当网络速度非常慢时,下载可能需要一两个小时,但当速度很快时,则需要十分钟。”

数亿苹果用户中毒:一场本可以避免的悲剧

另一方面,企业对下载源的控制几乎是空·怀特的,这导致在大环境中无法控制。一位习惯于使用官方软件的ios开发者告诉《it时报》记者,他之前申请过一家it公司。xcode开发环境已经安装在公司的计算机上。虽然这是非正式的,但他觉得不需要重新安装开发环境。"想象这样一个循环,该公司的所有软件都可能感染恶意病毒."

数亿苹果用户中毒:一场本可以避免的悲剧

开发商缺乏安全意识导致了担忧

到目前为止,中国还没有企业it安全管理明确要求开发者的下载环境和程序,包括像微信和网易云音乐这样的大型开发团队。但事实上,这不是没有痕迹的。在中国,盗版个人软件已经成为木马植入的重灾区。作为开发人员,它不会完全失去意识。“有许多非官方下载的软件广告,是由第三方下载的。xcode中也存在同样的情况。”

数亿苹果用户中毒:一场本可以避免的悲剧

更让人担心的是,如果像那些植入开发源的恶意程序的开发者“失败”,苹果官员将很难检查他们,因为病毒文件隐藏得太深了。

事件发生后,不同的平台迅速修补了漏洞,并更新了新版本。然而,在国内开发商中,这一事件仍不算严重。“它没有影响,这个问题现在也没有造成任何伤害。”一小组开发人员说。将来,至少大公司应该严格控制开发工具的下载源。

来源:济南日报

标题:数亿苹果用户中毒:一场本可以避免的悲剧

地址:http://www.jy2z.com/jnxw/5771.html