XCodeGhost事件真相完全大還原

4）遠(yuǎn)程控制模塊協(xié)議存在漏洞，可被中間人攻擊

在進(jìn)行樣本分析的同時(shí)，我們還發(fā)現(xiàn)這個(gè)惡意模塊的網(wǎng)絡(luò)協(xié)議加密存問(wèn)題，可以被輕易暴力破解。我們嘗試了中間人攻擊，驗(yàn)證確實(shí)可以代替服務(wù)器下發(fā)偽協(xié)議指令到手機(jī)，成為這些肉雞的新主人。

圖5存在安全漏洞的協(xié)議解密代碼片段

值得一提的是，通過(guò)追查我們發(fā)現(xiàn)植入的遠(yuǎn)程控制模塊并不只一個(gè)版本。而現(xiàn)已公開(kāi)的分析中，都未指出模塊具備遠(yuǎn)程控制能力和自定義彈窗能力，而遠(yuǎn)程控制模塊本身還存在漏洞可被中間人攻擊，組合利用的威力可想而知。這個(gè)事件的危害其實(shí)被大大的低估了。

【感染途徑】

分析過(guò)程中我們發(fā)現(xiàn)，異常流量APP都是大公司的知名產(chǎn)品，也是都是從AppStore下載并具有官方的數(shù)字簽名，因此并不存在APP被惡意篡改的可能。隨后我們把精力集中到開(kāi)發(fā)人員和相關(guān)編譯環(huán)境中。果然，接下來(lái)很快從開(kāi)發(fā)人員的xcode中找到了答案。

我們發(fā)現(xiàn)開(kāi)發(fā)人員使用的xcode路徑Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/下，存在一個(gè)名為CoreServices.framework的“系統(tǒng)組件”，而從蘋(píng)果官方下載的xcode安裝包，卻不存在這些目錄和“系統(tǒng)組件”。

圖6被感染惡意代碼的xcode包路徑

原來(lái)開(kāi)發(fā)人員的xcode安裝包中，被別有用心的人植入了遠(yuǎn)程控制模塊，通過(guò)修改xcode編譯參數(shù)，將這個(gè)惡意模塊自動(dòng)的部署到任何通過(guò)xcode編譯的蘋(píng)果APP（iOS/Mac）中。

水落石出了，罪魁禍?zhǔn)资情_(kāi)發(fā)人員從非蘋(píng)果官方渠道下載xcode開(kāi)發(fā)環(huán)境。

通過(guò)百度搜索“xcode”出來(lái)的頁(yè)面，除了指向蘋(píng)果AppStore的那幾個(gè)鏈接，其余的都是通過(guò)各種id（除了coderfun，還有使用了很多id，如lmznet、jrl568等）在各種開(kāi)發(fā)社區(qū)、人氣社區(qū)、下載站發(fā)帖，最終全鏈到了不同id的百度云盤(pán)上。為了驗(yàn)證，團(tuán)隊(duì)小伙伴們下載了近20個(gè)各版本的xcode安裝包，發(fā)現(xiàn)居然無(wú)一例外的都被植入了惡意的CoreServices.framework，可見(jiàn)投放這些帖子的黑客對(duì)SEO也有相當(dāng)?shù)牧私狻?

• 蘋(píng)果XcodeGhost事件：我們的安全在哪里？
• 蘋(píng)果CMO菲爾·席勒解讀Xcode事件：關(guān)鍵問(wèn)題在這
• 蘋(píng)果iOS躺槍：網(wǎng)絡(luò)安全沒(méi)有一家可獨(dú)善其身
• 科普：10個(gè)習(xí)慣助力手機(jī)安全
• iOS應(yīng)用感染XCode病毒，蘋(píng)果不承擔(dān)責(zé)任