XcodeGhost事件的10個熱點問答

針對XcodeGhost事件，獵豹移動安全實驗室整理出了的10個熱點問答。

1.XcodeGhost事件的來龍去脈

源于9月18日烏云網公布的一則分析報告：XCode編譯器里有鬼 – XCodeGhost樣本分析，這份純粹的技術分析報告引爆中國iOS生態(tài)鏈的眾多開發(fā)者。

有些程序員使用了第三方Xcode編譯器，這些編譯器編寫的APP存在安全問題，當它們上傳到AppStore之后，被用戶下載安裝，它們會偷偷上傳軟件包名、應用名、系統(tǒng)版本、語言、國家等基本信息。

從病毒樣本的分析看，這些泄露信息其實并不涉及太多的隱私問題。

值得注意的是，病毒擁有更多的權限，它們在iPhone/iPad上彈出釣魚網站頁面，可能騙取iCloud帳號密碼，或者其他關鍵信息。

2.哪些APP有問題，可能有什么影響？

據分析，受XCodeGhost事件影響的APP可能有30多款，包括微信、我叫MT、同花順、南京銀行、南方航空、中信銀行行動卡空間、名片全能王、憤怒的小鳥2等等比較熟知的應用。

安裝這些應用的iPhone/iPad用戶可能泄露基本的信息。

如果在近一段時間（1-2個月內），普通用戶在這些受影響的應用中輸入過敏感信息，如icloud密碼、信用卡信息等，這些信息理論上也可能被泄露。

基于安全的考慮，最好對涉及到的密碼、支付方式等進行修改。

3.這意味著什么？蘋果不再安全了嗎？

以往人們普遍認為，只要不越獄，只從官方應用市場下載軟件，iPhone/iPad就是安全的。現(xiàn)在，這個神話破滅了。開發(fā)工具中做手腳 ,可能騙過那些聰明的程序員，在編譯自己的應用時，把有害代碼加進去，威脅用戶數據安全。

甚至這種攻擊方式繞過了AppStore的安全審核機制，使得官方商店的防護也不如以往那樣可信。

4.iPhone/iPad需要安全軟件嗎？

總的來說，iPhone/iPad不越獄的風險仍然可控，盡管這次蘋果的安全審查未能檢測到威脅。用戶仍然只能從官方市場下載應用，比安卓上混亂的應用市場還是要好一些。

另外，需要提醒蘋果用戶注意的是，并不是手機不中毒就安全，目前大量安全事件其實并非手機端的病毒制造的，信息泄露、網絡釣魚、電信詐騙等幾乎無處不在，提高安全意識才是防范風險最有用的手段。而這些，顯然不能僅僅依靠手機端的安全軟件來解決。

5.普通用戶如何防范？

再次建議iPhone/iPad用戶不要越獄，只從官方市場下載軟件。當有人試圖套取你的iCloud帳戶密碼或者其他重要帳戶密碼、手機驗證碼時，必須謹慎對待。

為確保安全，用戶也可以選擇暫時卸載那些受影響軟件。保險起見，修改iCloud帳戶密碼。再次強烈建議開通iCloud雙重驗證，方法可參考百度經驗的技術文章：http://jingyan.baidu.com/article/eb9f7b6da354d2869364e8f1.html

6.疑似作者道歉了，公開了源碼，他說的是真的嗎？

#XcodeGhost#始作俑者@XcodeGhost-Author 向公眾致歉，稱這是一個“實驗”、“并未制造威脅性行為”,并上傳源碼供研究人員分析，業(yè)內人士從源碼判斷“可信度較高”.

7.有人說需要iCloud需要改密碼，信用卡需要注銷，12306也要改密碼。

目前，該事件并未上升到草木皆兵的地步，iCloud帳戶及其他重要帳號，建議網友開通雙重驗證（即除了用戶名密碼驗證，再開通其他方式比如手機驗證碼驗證動態(tài)密碼）。安全專家總在反復強調不要重復使用密碼，不要使用過于簡單的密碼，這些都是非常重要的建議。

當安全事件到來時，有所準備的網友受到傷害的可能性最低。

8.針對XCode程序員的安全建議是什么？

程序員使用Xcode非官方版本，可能有兩個原因：官方渠道下載緩慢，或者開發(fā)者使用了黑蘋果（盜版蘋果系統(tǒng)）開發(fā)。

這件事給程序員敲響警鐘，要安全，首先得保證自己的開發(fā)工具安全。程序員被黑客暗算的事兒曾經多次發(fā)生，無論如何，建議使用正版、未被非法篡改過的開發(fā)工具編寫程序，避免你的用戶成為受害者。

其次，編譯環(huán)境、發(fā)布環(huán)境的安全值得注意，編譯服務器和自動發(fā)布服務器，應保持干凈的環(huán)境，不要隨意安裝來源不明的可疑軟件。

9.此次事件對蘋果的安全策略會造成什么影響？

顯然，蘋果會修補這次安全事件造成的影響，安全審查會變得更嚴格。但蘋果不會為某些軟件（比如安全軟件）提供更多權限。

10.為什么蘋果沒能阻止這次攻擊？

安全是動態(tài)的過程，今天認為安全的保護措施，可能在未來某個時刻被新的攻擊方法突破，或者總有漏洞被黑客發(fā)現(xiàn)。一個完全不會被攻克的系統(tǒng)，只能是神話。

內容來源：獵豹移動安全實驗室

生成海報

免責聲明：本網站內容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網站出現(xiàn)的信息，均僅供參考。本網站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。任何單位或個人認為本網站中的網頁或鏈接內容可能涉嫌侵犯其知識產權或存在不實內容時，應及時向本網站提出書面權利通知或不實情況說明，并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內容或斷開相關鏈接。