XcodeGhost - XcodeGhost

XcodeGhost (и вариант XcodeGhost S) являются модифицированными версиями Apple Xcode среды разработки, которые считаются вредоносное ПО.[1] Это программное обеспечение впервые привлекло широкое внимание в сентябре 2015 года, когда ряд приложений из Китая содержали вредоносный код.[2] Считалось, что это была «первая крупномасштабная атака на Apple App Store»,[3] сообщает BBC. Впервые проблемы были выявлены исследователями Алибаба, ведущая компания электронной коммерции в Китае.[4] По данным FireEye, заражено более 4000 приложений, что намного больше, чем 25, первоначально признанных Apple.[5] в том числе приложения от авторов за пределами Китая.

Охранная фирма Palo Alto Networks предположил, что, поскольку скорость сети в Китае ниже, разработчики в этой стране искали локальные копии среды разработки Apple Xcode и сталкивались с измененными версиями, которые были размещены на внутренних веб-сайтах. Это открыло двери для вредоносного ПО, которое будет вставлено в популярные приложения, используемые на устройствах iOS.[6][7]

Даже через два месяца после первых отчетов компания по безопасности FireEye сообщила, что сотни предприятий все еще используют зараженные приложения и что XcodeGhost остается «постоянной угрозой безопасности».[8][9] Фирма также обнаружила новый вариант вредоносного ПО и назвала его XcodeGhost S; среди зараженных приложений было популярное приложение для обмена сообщениями WeChat и Netease приложение Музыка 163.[10]

Открытие

16 сентября 2015 г. китайский разработчик iOS упомянул[11] в социальной сети Сина Weibo что вредоносное ПО в Xcode внедряет сторонний код в приложения, скомпилированные с его помощью.

Алибаба затем исследователи опубликовали[12] Подробную информацию о вредоносном ПО и назвал XcodeGhost.

17 сентября 2015 г. Palo Alto Networks опубликовал несколько отчетов о вредоносном ПО.[13][14][15][16]

Операция

Распространение

Из-за низкая скорость загрузки с серверов Apple китайские разработчики iOS загружали Xcode со сторонних веб-сайтов, таких как Байду Юнь (теперь называется Baidu WangPan), облачным хранилищем, размещенным на Baidu, или получайте копии от коллег. Злоумышленники воспользовались этой ситуацией, распространяя скомпрометированные версии на таких файловых хостингах.[17]

Palo Alto Networks подозревает, что вредоносная программа была доступна в марте 2015 года.[16]

Вектор атаки

Происхождение

Утечка документа из Эдвард Сноуден. "Strawhorse: Атака на MacOS и Комплект для разработки программного обеспечения iOS ".

Злоумышленник использовал бэкдор компилятора атака. Новинка этой атаки - модификация компилятора Xcode. Однако, согласно документам, просочившимся Эдвард Сноуден, Исследователи безопасности ЦРУ из Сандийские национальные лаборатории утверждали, что они «создали модифицированную версию проприетарного инструмента разработки программного обеспечения Apple, Xcode, который может проникать через бэкдоры наблюдения в любые приложения или программы, созданные с помощью этого инструмента».[18]

Измененные файлы

Известные версии XcodeGhost добавляют дополнительные файлы[13] в исходное приложение Xcode:

  • Базовая сервисная структура на платформах iOS, симулятора iOS и OS X
  • Платформа IDEBundleInjection добавлена ​​на платформах iOS, симулятора iOS и OS X

XcodeGhost также изменил компоновщик связать вредоносные файлы[16] в скомпилированное приложение. Этот шаг отображается в журнале компиляции, но не в Xcode. IDE.

Приложения для iOS и OS X уязвимы для XcodeGhost.

Развертывание

XcodeGhost скомпрометировал уровень CoreServices, который содержит часто используемые функции и платформы, используемые приложением.[19] Когда разработчик компилирует свое приложение со скомпрометированной версией Xcode, вредоносные CoreServices автоматически интегрируются в приложение без ведома разработчика.

Затем вредоносные файлы добавят дополнительный код в классы UIWindow и UIDevice. Класс UIWindow - это «объект, который управляет и координирует представления, отображаемые приложением на экране устройства».[20]

Класс UIDevice предоставляет одиночка экземпляр, представляющий текущее устройство. Из этого экземпляра злоумышленник может получить информацию об устройстве, такую ​​как назначенное имя, модель устройства, а также имя и версию операционной системы.[21]

Поведение на зараженных устройствах

Риски безопасности удаленного управления

XcodeGhost может управляться удаленно с помощью команд, отправленных злоумышленником из Сервер управления и контроля через HTTP. Эти данные зашифрованы с использованием DES алгоритм в Режим ECB. Мало того, что этот режим шифрования известен как слабый, ключи шифрования также можно найти с помощью обратного проектирования. Злоумышленник может выполнить человек в центре атаки и передавать на устройство поддельный HTTP-трафик (например, для открытия диалогового окна или открытия определенного приложения).

Кража информации об устройстве пользователя

Когда зараженное приложение запускается с помощью iPhone или симулятора внутри Xcode, XcodeGhost автоматически собирает информацию об устройстве, такую ​​как:

  • Текущее время
  • Имя текущего зараженного приложения
  • Идентификатор пакета приложения
  • Имя и тип текущего устройства
  • Язык и страна текущей системы
  • Текущее устройство UUID
  • Тип сети

Затем вредоносная программа зашифрует эти данные и отправит их в командный и контрольный сервер. Сервер отличается от версии к версии XcodeGhost; Palo Alto Networks удалось найти три URL-адреса серверов:

  • http://init.crash-analytics.com
  • http://init.icloud-diagnostics.com
  • http://init.icloud-analysis.com

Последний домен также использовался во вредоносном ПО для iOS. KeyRaider.[13]

Чтение и запись из буфера обмена

XcodeGhost также может при каждом запуске зараженного приложения сохранять данные, записанные в буфер обмена iOS. Вредоносная программа также может изменять эти данные. Это может быть особенно опасно, если пользователь использует приложение для управления паролями.

Взломать открытие определенных URL

XcodeGhost также может открывать определенные URL-адреса при запуске зараженного приложения. Поскольку Apple iOS и OS X работают с механизмом URL-адресов для взаимодействия между приложениями[22] (например, «whatsapp: //», «Facebook: //», «iTunes: //»), злоумышленник может открыть любые приложения, установленные на взломанном телефоне или компьютере, в случае зараженного приложения macOS. Такой механизм может нанести вред приложениям для управления паролями или даже фишинговым сайтам.

Диалоговое окно с запросом предупреждения

В своей текущей известной версии XcodeGhost не может запрашивать диалоговые окна с предупреждениями на пользовательском устройстве.[16] Однако это требует лишь незначительных изменений.

Используя класс UIAlertView со свойством UIAlertViewStyleLoginAndPasswordInput, зараженное приложение может отображать поддельное диалоговое окно с предупреждением, которое выглядит как обычная проверка учетных данных пользователя Apple ID, и отправлять входные данные на сервер управления и контроля.

Зараженные приложения

Среди всех китайских приложений были заражены приложение IM, банковские приложения, приложение мобильного оператора, карты, приложения для торговли акциями, приложения и игры для социальных сетей. Популярные приложения, используемые во всем мире, также были заражены, например WeChat, популярное приложение для обмена мгновенными сообщениями, CamScanner, приложение для сканирования документов с помощью камеры смартфона или WinZip.

Команда Pangu заявили, что насчитали 3 418 зараженных приложений.[23]

Fox-it, компания по безопасности из Нидерландов, сообщает, что они обнаружили тысячи вредоносного трафика за пределами Китая.[24][25]

Удаление

Нейтрализация серверов управления и контроля и скомпрометированных версий Xcode

Поскольку статья Алибаба и Palo Alto Networks, Amazon снял все серверы, которые использовались XcodeGhost. Baidu также удалил все вредоносные установщики Xcode из своего облачного хранилища.

Удаление вредоносных приложений из App Store

18 сентября 2015 года Apple признала существование вредоносного ПО и начала просить всех разработчиков со скомпрометированными приложениями скомпилировать свои приложения с чистой версией Xcode, прежде чем снова отправлять их на проверку.

Команда Pangu выпустил инструмент[26] для обнаружения зараженных приложений на устройстве, но, как и другие антивирусные приложения, он не будет работать на устройстве, которое не было взломанный. Apple запрещает размещение антивирусных приложений в iOS App Store.[27]

Проверка версии Xcode

Apple советует разработчикам Xcode проверять[28][29] свою версию Xcode и всегда иметь Привратник активирован на своей машине.

Рекомендации

  1. ^ Дэн Гудин (21 сентября 2015 г.). "Apple борется с 40 вредоносными приложениями" XcodeGhost ", заполонившими App Store". Ars Technica. Получено 2015-11-05.
  2. ^ Джо Россиньол (20 сентября 2015 г.). «Что нужно знать о вредоносном ПО XcodeGhost для iOS». macrumors.com. Получено 2015-11-05.
  3. ^ «Магазин приложений Apple заражен вредоносным ПО XcodeGhost в Китае». Новости BBC. 2015-09-21. Получено 2016-09-22.
  4. ^ «Магазин приложений Apple заражен вредоносным ПО XcodeGhost в Китае». Новости BBC. 21 сентября 2015 г.. Получено 2015-11-05.
  5. ^ https://www.fireeye.com/blog/executive-perspective/2015/09/protecting_our_custo.html
  6. ^ Байфорд, Сэм (20 сентября 2015 г.). «Apple удаляет зараженные вредоносным ПО приложения из App Store после серьезного нарушения безопасности». Грани. Получено 2015-11-05.
  7. ^ Джеймс Темпертон (21 сентября 2015 г.). «Взлом Apple App Store: атака XcodeGhost нанесла удар по Китаю (Wired UK)». Проводная Великобритания. Получено 2015-11-05.
  8. ^ Кирк, Джереми (4 ноября 2015 г.). «Многие американские предприятия все еще используют приложения Apple, зараженные XcodeGhost, - сообщает FireEye».. InfoWorld. Получено 2015-11-05.
  9. ^ Бен Лавджой (4 ноября 2015 г.). «Модифицированная версия XcodeGhost остается угрозой, поскольку скомпрометированные приложения обнаружены на 210 предприятиях». 9to5Mac. Получено 2015-11-05.
  10. ^ Йонг Канг; Чжаофэн Чен; Раймонд Вей (3 ноября 2015 г.). «XcodeGhost S: новая порода попадает в США». FireEye. Получено 2015-11-05. XcodeGhost S: в США появилась новая порода
  11. ^ «Первое упоминание XcodeGhost на SinaWeibo». Сина Weibo. 17 сентября 2015 г.. Получено 2015-11-11.
  12. ^ «Xcode 编译 器 里 有鬼 - XcodeGhost 样本 分析 - 安全 漏洞 - 安全 研究 - 阿里 聚 安全». jaq.alibaba.com. Получено 2015-11-11.
  13. ^ а б c Клауд Сяо (17 сентября 2015 г.). «Новое вредоносное ПО XcodeGhost изменяет Xcode, заражает приложения Apple iOS и попадает в магазин приложений - блог Palo Alto Networks». Блог Palo Alto Networks. Получено 2015-11-11.
  14. ^ Клауд Сяо (18 сентября 2015 г.). «Вредоносное ПО XcodeGhost заражает 39 приложений iOS, включая WeChat, чем страдают сотни миллионов пользователей - блог Palo Alto Networks». Блог Palo Alto Networks. Получено 2015-11-11.
  15. ^ Клауд Сяо (18 сентября 2015 г.). «Обновление: злоумышленник XcodeGhost может фишинговать пароли и открывать URL-адреса через зараженные приложения - блог Palo Alto Networks». Блог Palo Alto Networks. Получено 2015-11-11.
  16. ^ а б c d Клауд Сяо (21 сентября 2015 г.). «Подробнее о вредоносном ПО XcodeGhost и затронутых приложениях iOS - Блог Palo Alto Networks». Блог Palo Alto Networks. Получено 2015-11-11.
  17. ^ Томас Фокс-Брюстер (18 сентября 2015 г.). «Хакеры прячут вредоносное ПО в Apple App Store», чтобы украсть пароли iCloud'". Forbes. Получено 2015-11-11.
  18. ^ Джереми Скахилл; Джош Бегли (10 марта 2015 г.). «Кампания ЦРУ по краже секретов Apple». Перехват. Получено 2015-11-11.
  19. ^ «Уровень основных служб». developer.apple.com. Получено 2015-11-11.
  20. ^ «Описание класса UIWindow». developer.apple.com. Получено 2015-11-11.
  21. ^ «Описание класса UIDevice». developer.apple.com. Получено 2015-11-11.
  22. ^ «Связь между приложениями». developer.apple.com. Получено 2015-11-11.
  23. ^ «Команда Pangu на Weibo». 21 сентября 2015 г.. Получено 2015-11-11.
  24. ^ «Совместное исследование Fox-IT и Palo Alto Networks выявило популярные приложения, зараженные вредоносным ПО». Фокс-это. 18 сентября 2015 г. Архивировано с оригинал на 2016-08-12. Получено 2015-11-11.
  25. ^ Томас, Брюстер (18 сентября 2015 г.). «Хакеры прячут вредоносное ПО в Apple App Store», чтобы украсть пароли iCloud'". В архиве из оригинала от 25 ноября 2016 г.
  26. ^ «Xcode 病毒 检测, XcodeGhost 病毒 检测 - 盘古 越狱». x.pangu.io. Получено 2015-11-11.
  27. ^ Хаслам, Карен. «Почему эксплойт XcodeGhost в приложении iOS не должен вас беспокоить». Macworld UK. Получено 2017-09-24.
  28. ^ "XcodeGhost 的 问题 和 解答". яблоко. Архивировано из оригинал 14 ноября 2015 г.. Получено 17 июня, 2016.
  29. ^ «Проверка вашей версии Xcode - Новости и обновления - разработчик Apple». developer.apple.com. Получено 2015-11-11.