0x00 序

事情的起因是@唐巧_boy在微博上發(fā)了一條微博說到：一個朋友告訴我他們通過在非官方渠道下載的 Xcode 編譯出來的 app 被注入了第三方的代碼，會向一個網(wǎng)站上傳數(shù)據(jù)，目前已知兩個知名的 App 被注入。

隨后很多留言的小伙伴們紛紛表示中招，@誰敢亂說話表示：”還是不能相信迅雷，我是把官網(wǎng)上的下載URL復(fù)制到迅雷里下載的，還是中招了。我說一下：有問題的Xcode6.4.dmg的sha1是：a836d8fa0fce198e061b7b38b826178b44c053a8，官方正確的是：672e3dcb7727fc6db071e5a8528b70aa03900bb0，大家一定要校驗。”另外還有一位小伙伴表示他是在百度網(wǎng)盤上下載的，也中招了。

0x01 樣本分析

在@瘋狗 @longye的幫助下，@JoeyBlue_ 為我們提供了病毒樣本:CoreService庫文件，因為用帶這個庫的Xcode編譯出的app都會中毒，所以我們給這個樣本起名為：XCodeGhost。CoreService是在”/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/”目錄下發(fā)現(xiàn)的，這個樣本的基本信息如下：

12345678910$shasum CoreService

f2961eda0a224c955fe8040340ad76ba55909ad5 CoreService

$file CoreService

CoreService: Mach-O universal binary with 5 architectures

CoreService (for architecture i386): Mach-O object i386

CoreService (for architecture x86_64): Mach-O 64-bit object x86_64

CoreService (for architecture armv7): Mach-O object arm

CoreService (for architecture armv7s): Mach-O object arm

CoreService (for architecture arm64): Mach-O 64-bit object

用ida打開，發(fā)現(xiàn)樣本非常簡單，只有少量函數(shù)。主要的功能就是先收集一些iPhone和app的基本信息，包括：時間，bundle id(包名)，應(yīng)用名稱，系統(tǒng)版本，語言，國家等。如圖所示：

隨后會把這些信息上傳到 init.icloud-analysis.com。如圖所示：

http://init.icloud-analysis.com并不是apple 的官方網(wǎng)站，而是病毒作者所申請的仿冒網(wǎng)站，用來收集數(shù)據(jù)信息的。

目前該網(wǎng)站的服務(wù)器已經(jīng)關(guān)閉，用whois查詢服務(wù)器信息也沒有太多可以挖掘的地方。這說明病毒作者是個老手，并且非常小心，在代碼和服務(wù)器上都沒有留下什么痕跡，所以不排除以后還會繼續(xù)做作案的可能。

0x02 檢測方法

為了防止app被插入惡意庫文件，開發(fā)者除了檢測”/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs” 目錄下是否有可疑的framework文件之外，還應(yīng)該檢測一下Target->Build Setting->Search Paths->Framework Search Paths中的設(shè)置?？纯词欠裼锌梢傻膄rameworks混雜其中：

另外因為最近iOS dylib病毒也十分泛濫，為了防止開發(fā)者中招，支付寶的小伙伴還提供了一個防止被dylib hook的小技巧：在Build Settings中找到“Other Linker Flags”在其中加上”-Wl,-sectcreate,__RESTRICT,__restrict,/dev/null”即可。

最后的建議是：以后下載XCode編譯器盡可能使用官方渠道，以免app被打包進(jìn)惡意的病毒庫。如果非要用非官方渠道，一定要在下載后校驗一下哈希值。

0x03 思考&總結(jié)

雖然XCodeGhost并沒有非常嚴(yán)重的惡意行為，但是這種病毒傳播方式在iOS上還是首次。也許這只是病毒作者試試水而已，可能隨后還會有更大的動作，請開發(fā)者務(wù)必要小心。這個病毒讓我想到了UNIX 之父 Ken Thompson 的圖靈獎演講 “Reflections of Trusting Trust”。他曾經(jīng)假設(shè)可以實現(xiàn)了一個修改的 tcc，用它編譯 su login 能產(chǎn)生后門，用修改的tcc編譯“正版”的 tcc 代碼也能夠產(chǎn)生有著同樣后門的 tcc。也就是不論 bootstrap (用 tcc 編譯 tcc) 多少次，不論如何查看源碼都無法發(fā)現(xiàn)后門，真是細(xì)思恐極啊。

0x04 追加更新

1 很多開發(fā)者們擔(dān)心最近下載的Xcode 7也不安全。這里筆者沒有使用任何下載工具的情況在蘋果官網(wǎng)上下載了Xcode_7.dmg并計算了sha1的值。

http://adcdownload.apple.com/Developer_Tools/Xcode_7/Xcode_7.dmg

$ shasum Xcode_7.dmg

4afc067e5fc9266413c157167a123c8cdfdfb15e Xcode_7.dmg

所以如果在非App Store下載的各位開發(fā)者們可以用shasum校驗一下自己下載的Xcode 7是否是原版。

2 @FlowerCode同學(xué)通過分析流量發(fā)現(xiàn)病毒開發(fā)者的服務(wù)器是搭建在Amazon EC2的云上的。服務(wù)器已經(jīng)關(guān)閉 。

3 根據(jù)palo alto networks公司爆料，被感染的知名App Store應(yīng)用為”網(wǎng)易云音樂”!該app應(yīng)用在AppStore上的最新版本2.8.3已經(jīng)確認(rèn)被感染。并且該應(yīng)用的Xcode編譯版本為 6.4(6E35b)，也就是XcodeGhost病毒所感染的那個版本。網(wǎng)易云音樂在AppStore上目前的狀態(tài)：

"網(wǎng)易云音樂"逆向后的函數(shù)列表，可以找到XcodeGhost所插入的函數(shù)：

受感染的"網(wǎng)易云音樂"app會把手機隱私信息發(fā)送到病毒作者的服務(wù)器”init.icloud-analysis.com”上面：

4 根據(jù)熱心網(wǎng)友舉報，投毒者網(wǎng)名為”coderfun”。他在各種iOS開發(fā)者論壇或者weibo后留言引誘iOS開發(fā)者下載有毒版本的Xcode。并且中毒的版本不止Xcode 6.4，還有6.1，6.2和6.3等等。

5 根據(jù)熱心網(wǎng)友提醒，我們在中信銀行信用卡的應(yīng)用”動卡空間”中也發(fā)現(xiàn)了被插入的XcodeGhost惡意代碼，受感染的版本為3.4.4。

被插入的部分惡意代碼如下：