TA的每日心情 | 开心
2017-12-4 14:22 |
|---|
签到天数: 331 天 [LV.8]以坛为家I
|
马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。
您需要 登录 才可以下载或查看，没有账号？立即注册
×
在此次后门漏洞曝光过后，人们的确应当意识到，苹果并非永远安全的手机。; A1 j5 x8 _6 t0 c
! M( W1 x2 P$ R+ k
# y3 f Z, U0 a. O2 J- u) c/ H 腾讯科技 梁辰 9月21日报道: E3 O4 ]! x. g$ Z: D* E3 \# m) }
; O% q' s) w3 h& W2 ]
在外界印象里，封闭的系统生态和严格的审查制度，使得苹果设备似乎有天然防御危机的屏障。但事实上，苹果的安全防御机制比想象的更加脆弱。( w3 D4 W" p/ Y# X5 g5 p
$ S" ~2 O: J7 J' J- R 2013年，只用了不到30秒，国内白帽子团队KeenTeam就远程破解了当时苹果最新的操作系统iOS7.0.3，获取了该手机中的照片。2014年纽约举办的黑客大会上，安全专家乔纳森·扎德尔斯基展示了如何利用存在于iOS后台的“后门”服务，从iPhone中提取出大量数据。
7 o" Z* J6 j! ]4 L, l4 a1 T* ?, r* g1 {( R+ V2 ~5 x
安全领域从业人员一次次破解苹果成为展现技术最好凭证，但对普通用户来说，最近一次起广泛关注的是9月18日。当天，漏洞报告平台乌云网和硅谷安全公司Palo Alto均发布安全预警，苹果应用商店上架的网易音乐云等应用被注入第三方恶意代码，用户信息或早泄露。4 R- J6 t& ?& q4 l
3 b/ `8 V" g5 \ H4 { iOS开发者和安全行业人士开始纷纷查找受影响的App。腾讯安全应急响应中心日后披露，其曾发现AppStore中已有76款应用被感染。
- y. F8 ]3 I/ `8 s
6 W. M6 J5 r1 d ~) K, _& N% ~8 y Twitter用户@fannheywrd(爱微创想iOS开发主管)爆料称，受影响的App已蔓延至火车订票应用12306和中信银行卡动卡空间。一时间，网络流传出多种安全解读和提醒，猎豹移动安全专家甚至提醒用户考虑修改密码和支付方式。. w$ A1 ]* b) X/ q2 R4 C; N
( g) F+ d4 y* @( u 事情的转机出现在19日上午。一个名为“XcodeGhostSource”的账号在代码退管网站GitHub发布“关于所谓‘XcodeGhost’的澄清”一文中称，恶意代码源自个人实验，因10天前已关闭服务器，并删除所有数据，已消除影响。不过，腾讯科技浏览发现，该账号为新注册账号，注册时间为2015年9月19日。
7 k8 V0 h @9 g6 y( Z! l j* K
* | x# ]& I$ h( ?* \ 有业内人士告诉腾讯科技，该作者并不希望被外界知道其身份。也正因为此，这份澄清声明的真实性引发业界热议。不过，这一声明获得多个安全领域专家转发。8 `+ i# ]9 T& E2 `# e& }
/ d! ?7 O6 X3 R5 p! m+ z- Q8 M 然而，危机尚未解除。有业内人士回忆，Unix之父Ken Thompson在获得图灵奖发表感言时曾称，在编译Unix代码的C编辑器里留有“后门”。苹果iOS操作系统是属于类Unix操作系统。该业内人士提醒，在对此次事件分析时发现，借助这一漏洞，黑客在获得远程控制权限后，可以向“中标”手机下发任意指令。) e3 g9 b* A: Y( @4 m
" m v* [' o; s, U0 n( A8 _% c
腾讯安全应急响应中心称，9月16日已向苹果官方同步应用被感染情况。
5 i. ]' K4 _% l1 R
) h# a" {( H! w% e; _6 U, x9 W! c 9月19日，苹果向被感染手机程序开发者发出下架通知，建议手机程序编写者下载正版开发工具，重新编译相关程序后上传至AppStore。
+ Z, T9 p& v0 Z# b5 L
; t h4 e" v9 v) T) b( L0 c 以越狱出名的盘古团队也在当日发布了一款XcodeGhost检测工具。该团队称，已检测到超过800个不同版本的应用受到感染。不过，该消息未能得到苹果或第三方证实。8 q6 u# ]% r7 q- E
s+ X2 r) `' g$ `5 T6 s3 e( ~
与以往恶意程序自身携带病毒不同，这次安全事件中，黑客第一次把恶意代码嵌入苹果应用开发的源头，欺骗对象转向开发者。对普通用户而言一旦使用了感染的App，其数据将上传至黑客指定网址，而一旦有App要求用户输入账户密码等隐私数据，隐藏在背后的灰色产业暴利相当惊人。
" L- J* L( a0 X3 b. G- M8 c9 ^; z4 q9 R0 s* S& P) s- v2 T* U9 w
乌云平台已陆续曝出多起苹果系统级高危漏洞，在此次后门漏洞曝光过后，人们的确应当意识到，苹果并非永远安全的手机。
% Q/ W6 m/ c% Y8 C0 |+ }: O+ _6 o; l: R* w) z: Z5 r
黑客利用设备信息可用于远程控制( j% o1 r$ z/ d$ [: @9 X1 x! D/ [
e6 l. j4 m4 Q8 e8 _* d! c' ` 代码分析结果显示，上报的信息包括App版本、App名称、本地语言、iOS版本、设备类型和国家码等信息。这些信息虽然不涉及到个人用户的隐私，但是可以精准地对不同的iOS设备进行区分。未经证实的前述声明也表示，其代码可以获取的只有App的基本信息。
* o; k! l' y6 X" [- s6 X/ q1 ~+ W: {! p
这意味着，通过上报信息区分每一台iOS设备后，黑客可以通过iOS openURL这个API随时随地给任何人下伪协议指令。# i* s3 ?' j' \$ C
, b- Y- c% Q9 O. `) b S
“这时候黑客已经可以控制你的手机，达到他想要做的任何事情。”有安全专家向腾讯科技解释，“浏览网页、打电话发短只是最常见的功能，甚至可以对具备该伪协议的第三方App进行操作。”
) o: }. T- W7 ^) ?# _4 L6 z7 f/ ?$ O7 F X
不仅如此，黑客还可以控制弹出任何对话框，对用户进行诱导进行更进一步的安全危害。腾讯安全应急响应中心甚至发现，利用该恶意代码的漏洞甚至可以被中间人攻击。后者是一种黑客常用的古老攻击手段。
% g: D8 O+ j% u( w# D, x$ f! w% `6 }5 L" _
此外，腾讯安全应急响应中心还发现，除了已使用的上报域名地址“icloud-analysis.com”，此次还发现了其他三个尚未使用的域名。如果不是及时遏制，其影响范围可能进一步扩大。. y! f+ N s# I# d& q
5 Q9 A' ?- t7 c/ c/ m2 g, H B% H
开发者下载官方版本难引出黑产寻利; ]+ G2 M$ z0 ^% W) Y
& H, v; w( x" _" q XcodeGhost被大规模发现之前。国家互联网应急中心曾在9月14日发布过预警通报。该通报称，检测中发现开发者使用了非苹果官方渠道的Xcode开发工具，而该工具中被植入恶意代码。
+ a" b+ P s( @' m3 [
- H- I# r' h$ @2 Q) z1 o! k 事实上，作为苹果官方开发工具，Xcode可以免费从应用商店下载。那么为什么有开发者选择了非官方渠道?
6 G8 L' D* n. @1 {% b) s
! D7 W! N" l! h. g Q1 q1 n: _ 受访的多数苹果开发者告诉腾讯科技，原因只有一个，就是官方渠道下载速度非常慢。猿题库iOS开发工程师唐巧在社交网络上称，“每次下Xcode花个几十分钟非常正常，这才造成大家都用迅雷和百度网盘这种非官方渠道”。8 f; Q+ A4 `8 q# X! t0 h
8 R$ T# {- {' u1 Q2 I
互联网的云存储服务只是提供了一个更为方便的下载渠道。有消息称，此次安全危机的始作俑者的网名为“coderfun”，携带恶意代码的Xcode压缩文件上传至百度网盘后，将下载链接先后发布到多个开发者聚集的社区、下载站等。腾讯安全应急响应中心称，“coderfun”还是用了“Imznet”、“jrl568”等ID传播下载链接。" F5 G i6 G' g# w2 F
' g$ N" e V1 q+ X4 z0 H* p 据悉，恶意代码被隐藏在了一个名为“CoreService.framework”的“系统组件”内，而官方下载的安装包并不存在这个目录和“系统组件”。
0 U# U- k/ U2 r; f5 j! P0 C8 Z! h, W' [# A2 d- {
猎豹移动安全专家李铁军(微博)告诉腾讯科技，“黑产”希望通过收集用户信息，以便广告投放，后者存在利益空间。由于苹果限制比较多、审查比较严格，常用模式无法运行，因此只能从开发环节突破。尽管是有限的个人信息，但仍然有商业价值。
+ ~* \: l, P, S( A; V" x! J; G& c/ W% o- f
所谓“黑产”，就是指靠收集个人信息，出售个人信息牟利的一群人。# G8 ~; H U4 I
" s, p5 l U, _6 s( r8 n 漏洞会引发苹果信任危机吗?. h& r! A7 ~4 Q6 ?1 y2 Y5 G& y0 s
9 w( B8 v7 l1 |& b8 Z6 o
事件发生后，几家涉事公司纷纷提出了自己的。腾讯选择了更新版本，并且在发现bug的第二天，即9月13日已完成替换。9月18日下午15时，网易云音乐通过社交网络发布公告解释了发生危机的原因。0 x. }2 [# l9 t! t
* Y5 l% u! ^' k, { j$ H* Y
尽管苹果最终在19日下架受感染应用，但李铁军表示，唯一的方法是等待开发者重新发布安装包替换。用户可以选择卸载，或者等待升级更新。
2 ~3 Y A% O, {" D" i/ p& {1 X3 F
B/ d7 ]% ?& G4 o6 N5 F1 D2 V 但苹果在漏洞发生后一段时间的失语，让外界有了更多的猜测。随着自媒体的发酵以及更多的人加入讨论，该漏洞被更为深入地解读。虽然并未没有直接的证据指出，该漏洞会窃取与财产相关的个人账号信息，但由于此次“中招”App包括火车订票软件和银行软件，所以也有分析称，用户的财产安全或受到威胁。
$ n5 N. U0 @3 y7 ^& ]2 X3 Q7 j
0 {6 `1 j$ O" R0 ~ 一旦有App要求用户输入账号密码，这背后隐藏的灰色暴利将会相当惊人。中国漏洞库专家委员会蔡晶晶接受中央电视台采访表示，正常用户访问的一次点击广告的价值是1至2元人民币，一个亿用户量每个用户推送一个广告，我们知道背后的价值有多达，这就是传统意义上的黑色产业链。8 P( k1 O. |5 K: n
7 s9 }! T5 x% R/ l; j: T
截至腾讯科技发稿时，中国市场并没有更进一步爆发新的安全事件，也没有相关信息和财产损失的报告 。多位受访安全人士判断，此次危机主要是对开发者发出了警告，敦促其避免使用来历不明的开发工具，相反对用户而言，影响并不大。$ m, q+ K6 T% q' J( f, H& a7 I
0 W( F- U* r! S! g/ M7 L3 m 不过，也有分析人士指出，苹果消极对待，也没有对开发者和用户及时发出提醒，或使其声誉受损，甚至会造成更大的信任危机。
% o \* F: [: S
: J$ K% P! D9 `6 J6 D4 @+ X- [/ ?; F+ [+ t }5 [6 o7 k# p
|
|
发表于 2015-9-22 19:04:34
