XcodeGhostによるApp Store初の大規模感染、1,000本近いアプリに影響か 65
ストーリー by headless
増殖 部門より
増殖 部門より
改変版Xcode「XcodeGhost」による悪意のあるコードに感染したiOSアプリが多数App Storeで発見されたことを受け、Appleが感染アプリの削除を開始したそうだ(Reutersの記事、
The Guardianの記事、
TNW Newsの記事、
VentureBeatの記事)。
XcodeGhostは正規のXcodeを装って開発者にインストールさせることにより、開発されたアプリに悪意のあるコードを埋め込む。XcodeGhostが使用するファイルや、感染アプリの動作については、9月21日の記事も参照してほしい。AppleはXcodeGhostで作られたことが判明しているアプリを削除したと述べ、正規のXcodeでアプリを再ビルドするように開発者を促しているとしている。ただし、Appleでは具体的な感染アプリの名称や削除した数などを明らかにしておらず、ユーザーが感染アプリの有無を判断する方法なども説明していない。
最初にXcodeGhostを確認したPalo Alto Networksでは39本の感染アプリをApp Storeで発見しており、オランダのセキュリティー企業Fox-ITが発見した56本とあわせて95本のアプリを含むリストを公表している。また、中国のセキュリティー企業Qihoo 360ではバージョン別の感染アプリリストを公表しており、20日時点で感染アプリは1,078本、バージョン違いを1本にまとめると847本となる。Palo Alto NetworksのリストとQihoo 360のリストを合わせて重複を除外すると900本になった。
リストの中には既に開発元が詳細を明らかにしてアプリを更新している「WeChat(微信)」を含め、中国以外でも広く使われている人気アプリの名前もみられる。ただし、リストにはアプリの詳細ページへのリンクが示されていないため、単なる同名アプリが含まれている可能性もある。
App Storeでは過去にもiOS用のマルウェアが発見されているが、今回のように多数の感染アプリが発見されるのは初めてのことだ。
XcodeGhostは正規のXcodeを装って開発者にインストールさせることにより、開発されたアプリに悪意のあるコードを埋め込む。XcodeGhostが使用するファイルや、感染アプリの動作については、9月21日の記事も参照してほしい。AppleはXcodeGhostで作られたことが判明しているアプリを削除したと述べ、正規のXcodeでアプリを再ビルドするように開発者を促しているとしている。ただし、Appleでは具体的な感染アプリの名称や削除した数などを明らかにしておらず、ユーザーが感染アプリの有無を判断する方法なども説明していない。
最初にXcodeGhostを確認したPalo Alto Networksでは39本の感染アプリをApp Storeで発見しており、オランダのセキュリティー企業Fox-ITが発見した56本とあわせて95本のアプリを含むリストを公表している。また、中国のセキュリティー企業Qihoo 360ではバージョン別の感染アプリリストを公表しており、20日時点で感染アプリは1,078本、バージョン違いを1本にまとめると847本となる。Palo Alto NetworksのリストとQihoo 360のリストを合わせて重複を除外すると900本になった。
リストの中には既に開発元が詳細を明らかにしてアプリを更新している「WeChat(微信)」を含め、中国以外でも広く使われている人気アプリの名前もみられる。ただし、リストにはアプリの詳細ページへのリンクが示されていないため、単なる同名アプリが含まれている可能性もある。
App Storeでは過去にもiOS用のマルウェアが発見されているが、今回のように多数の感染アプリが発見されるのは初めてのことだ。
なんで？ (スコア:5, すばらしい洞察)
>Appleでは具体的な感染アプリの名称や削除した数などを明らかにしておらず
数はともかく名称は公表しろよ
批難されないように動いているだけって印象で、被害を最小限に食い止めようって気がまるで感じられん
ストア囲い込み戦略をとった以上、今回は果たすべき責任を果たせなかったAppleの落ち度でもあるが、そういう意識は無いのか？
Appleの審査って中国の「金盾」のようなもの (スコア:5, 興味深い)
全く無いと思います。都合の悪い数字を隠蔽するという、中国政府（中国政府が発表する統計資料の多くは政府にとって都合の良いように改竄されています）のような最悪な行為です。自分たちがコードレビューしているアプリストアで大量に感染アプリを配信してしまったことに対する対処として最低です。
Android ユーザーの多くは、Playストアで配信されているアプリを安全だとは信じていないので、「アプリの公開元の会社や組織が信頼できるか」を重視しています。また、権限を確認したり、ウイルス対策ソフトを導入したり、レビューや評判情報を予め収集したりとできる限りの補助的な対策もとっています（補助的な対策では完全に安全なアプリであると判断することができないことも認識しています）。これは、Google がセキュリティに関する情報をむやみに隠蔽したりせず、ありのままの情報を正しく公開しているからです。
一方、Apple 信者は、Apple が審査・コードレビューしたアプリなのだから安全・安心だと無条件に信じ込んでしまっているところがあります。今回の件だって、Apple が実態を隠蔽しているので「ごく少数の感染アプリが紛れ込んでしまっただけ。Appleはそれを迅速に削除したのでもう安全だ」と信じ込んでいる Apple 信者も多いのでは？
Apple のコードレビューは、マルウェアを防ぐ効果が殆ど無いのにも関わらず、まるで効果があるようにユーザーを錯覚させているというのもいけません。真実としては、Apple の審査・コードレビューというのは、中国政府によって都合の悪い情報を遮断する「金盾」のようなもので、Apple にとって都合の悪い情報を遮断するための存在にすぎないのです。
Re:Appleの審査って中国の「金盾」のようなもの (スコア:4, すばらしい洞察)
Android ユーザーの多くは、Playストアで配信されているアプリを安全だとは信じていないので、「アプリの公開元の会社や組織が信頼できるか」を重視しています。また、権限を確認したり、ウイルス対策ソフトを導入したり、レビューや評判情報を予め収集したりとできる限りの補助的な対策もとっています（補助的な対策では完全に安全なアプリであると判断することができないことも認識しています）。これは、Google がセキュリティに関する情報をむやみに隠蔽したりせず、ありのままの情報を正しく公開しているからです。
自説を強化するためかなんか知らんけど、無茶なことを言いすぎだろ。
Androidでも、一般の消費者は「Playストアで配信されているアプリを安全だとは信じている」よ。
「アプリの公開元の会社や組織が信頼できるか」を重視しているかいないかは、今回の件と関係ないだろ。Wechatとかですらやられてんだし。
「権限を確認したり」とあるけど、GoogleのPlayストアの権限表示が最悪で、デフォルトで重要権限の表示が省略されているし、普通の権限だと思っても組み合わせてやばくなるという話は、スラドでも何回も出てきた話題のはず。
むしろ、一般の消費者は「Google がセキュリティに関する情報をむやみに隠蔽したりせず、ありのままの情報を正しく公開している」とか、信用できないと思っているよ。だから、iOSに流れるんだろ。
Re: (スコア:0)
高度な自虐ネタ。ワロタ。
Re: (スコア:0)
いや、「ほんとうに全てのAndroidユーザーの行動を見て来た」という可能性を否定してはいけない。
Re:Appleの審査って中国の「金盾」のようなもの (スコア:1)
「不正アプリ７００万超 [yahoo.co.jp]」これだけ不正アプリが存在しても、「使用者が気を付けてますから大丈夫です」としか言えない（記事中でも、セキュリティ企業の広報が「個人の意識を高めていく必要がある」とか言っちゃってるし）Androidのどこが擁護できるんだよ。
そりゃ、ノーガード戦法の方が提供側（Google）のリスクはないに決まってんだろ。
Re: (スコア:0)
Google Playのアプリ数は去年の時点で143万個。
不正アプリの700万超というのは、どう考えてもGoogle Play以外のアプリを含んでいる。
日本でGoogle Play以外からダウンロードして不正アプリに感染しても、自業自得だろ。
AndroidがiOSよりマルウェアが多いのは否定しないが、そのうちのほとんどはGoogle Play以外のアプリだろ。
Androidがマルウェアが多いという話は嘘ではないとしても誇張されている。
なぜそうなるかといえば、ウイルス対策ソフトで商売している会社は、Androidがウイルスに弱い方が都合がいいから。
iOSではウイルス対策ソフトを出せないからね。
リンク先でトレンドマイクロ広報部シニアスペシャリストの鰆目（さわらめ）順介さんが「セキュリティーソフトを入れておくのが一番安心だが、」と書いているが、その前にGoogle Play以外からのアプリをインストールしないのが一番安心だといいたいね。
Re: (スコア:0)
> Apple のコードレビューは、マルウェアを防ぐ効果が殆ど無いのにも関わらず、まるで効果があるようにユーザーを錯覚させているというのもいけません。
コードレビューはないよ。署名済みコンパイル済みバイナリの目視動作テストだけ。
Re:Appleの審査って中国の「金盾」のようなもの (スコア:1)
ん？無いの？
前のストーリーでさんざんコードレビューについてコメントされてるのに。
# Appleはソースレベルでチェックしてるのかと感心してたのに。
Re: (スコア:0)
審査しているもの
- UIのデザイン
- 課金ルール
- エロ（ダウンロードされるコンテンツも）
- アプリ名
- アンドキュメントなクラスやメソッド等の実行
- リンクされてないフレームワークや機能を、使っていると自己申告している場合
など
審査されないもの
- レビュワーの目のとどかない範囲でのUIのデザイン
- 所定時間経過後（レビュー終了後）にエロ広告が出る場合など
- アップロードの内容… ルール内でのマルウェア的行為（ユーザーの許可を取った上でアドレスブックの内容を全部サーバーに送る等）
Re: (スコア:0)
> - UIのデザイン
縦横切替ただけでぶっ壊れて操作不能になるアプリが平気で公開されている現実。
(おそらく審査をすり抜けるという意図もない只の技術不足)
> - エロ（ダウンロードされるコンテンツも）
「所定時間経過後（レビュー終了後）に」「メインコンテンツを差し替えて」エロにしたってケースが…
> - アンドキュメントなクラスやメソッド等の実行
> - リンクされてないフレームワークや機能を、使っていると自己申告している場合
本件含め、色々やられているような？公式実装前の「テザリングアプリ」とかそんなんばっかり。
> - アップロードの内容… ルール内でのマルウェア的行為
> （ユーザーの許可を取った上でアドレスブックの内容を全部サーバーに送る等）
許可「取らずに」全部抜き取ってた自称国産な韓国企業製アプリがありましたね。
まぁ、ザルっていえばザルですわな。
かと思えばどうでもいいことでリジェクトかけるからリジェクト対策マニュアルみたいなバッドノウハウも蓄積してるし。
Re: (スコア:0)
ソース提出は無いって前のストーリーに書いてあったと思うょ。
Re: (スコア:0)
信者って言っちゃう人の論説は、どんなにもっともらしく聞こえても無視するようにしてる。
だってバイアスかかってることが一語で丸分かりなんだもん。
Re:なんで？ (スコア:1)
「ごく少数のアプリ」とか平気で言えるからなあ
個人情報が漏えいした恐れのある被害者は、被害者であること知る権利も無いと？ (スコア:3)
悪意のあるコードに汚染されたiOSアプリは、システム・アプリの情報を収集してC&Cサーバーに送信したり、偽のアラートダイアログでユーザーの認証情報をだまし取ったり、クリップボードのデータを抜き取ったり、iOSアプリの脆弱性を攻撃したりしていた訳ですが、個人情報が漏えいした恐れのある被害者は、被害者であること知る権利も無いと？
「ユーザが今からコントロールできる要素が無い」からしなくても良いというのならば、例えばベネッセなどの個人情報漏えい事件の場合でも、同様に隠蔽して良いとお考えでしょうか？
あと、パスワードのコピペのためにクリップボードを使っていたユーザーはパスワードを変更するとか、偽のアラートダイアログにクレジットカード番号を入力してしまったユーザーはカード会社に連絡するとか、何らかの対策が必要な場合もあります。
「単なる晒し上げ」とおっしゃいますが、悪意のあるコードに汚染されたアプリの名称は公開されるべきです。また、ダウンロードしてしまったユーザーは、Apple アカウントで特定できるはずですから、メールでも通知すべき。
MacのほうがWindowsより安全！ (スコア:1)
とアピールしていた時代もあったな（普及率が低いから相手にされてなかっただけだが）
ヒットすれば狙われてこうなる事は自明
Re:MacのほうがWindowsより安全！ (スコア:1)
> 普及率が低いから相手にされてなかっただけだが
おいWindows Phoneの傷口に塩を塗りこむのはやめろ
Re: (スコア:0)
大丈夫、ストアはWin8/10と共用だから汎用性の有るやつならどれにも入れるよ！
# 嬉しくねぇ……
# Windows Phone端末、もっと出てくれー
Re: (スコア:0)
一方WPの方は7.xの頃から、万一悪質なコードが含まれてた時のためにアプリはサンドボックス上で実行する設計になっている、と(確かエバンジェリストの人も)明言してました。バックグラウンド動作を制限してたのもマルウェアによる情報抜き取りを防ぐ意味合いも有ったとか言ってたような…。
もっとも、今回みたいなフィッシング詐欺的な偽アラート画面にはサンドボックスも効果無さそうですが…。
# 意識高い系ユーザーが通報→「規約違反だから削除するね^^」のコンボに期待するしか無いのか…?
Re:MacのほうがWindowsより安全！ (スコア:1)
違いない」と言いがかりをつけられて告訴される確率の方が高いような気がする。
Re: (スコア:0)
なんかサンドボックスの意味を勘違いしてうような気がするけど…
素でアクセスできる機能・APIを仮想化で制限して影響範囲を切り分けるだけです。
電話帳やメールなど保護したいデータが見せる領域なら当然見えてます。
画面遷移云々は余り関係が無いです。
# 仮想化のレベルの低いサンドボックスは制限されたAPIサブセットと対して違わない。
Re: (スコア:0)
公式ストアの審査を通過した脆弱性も隠しAPIも使わない署名済みマルウェアってちょっと話が違うと思うんだけど
コード自体じゃなくて開発者の意図に悪意があるっていうのは
Re: (スコア:0)
開発環境が汚染されてるんだから開発者に悪意は無いんじゃ？
Re: (スコア:0)
iPhoneの普及率は高が知れてるでしょ
富裕層がよく使ってるから仕掛けると効率いいだけ
Re: (スコア:0)
独占禁止法で取り締まってほしいとき以外は高が知れてるんですよね。
# どこぞの自称発展途上国かよ
Re: (スコア:0)
初期のマックの頃は、ウィルスといえばマック、みたいな雰囲気が合った気が。
フロッピーディスク使った違法コピーしまくりで。
歴史は繰り返す？ (スコア:1)
login.cをコンパイルする時だけバックドアコード埋め込むとかね。
Re:歴史は繰り返す？ (スコア:1)
ケン・トンプソンのバックドアはさらに周到。
ざっと聞いたところでは、コンパイラでコンパイラをコンパイルするときに、「新しいコンパイラがlogin.cをコンパイルするとき、バックドアを埋め込む機能」を埋め込んでしまう隠し機能をコンパイラに埋め込んでいた、とか。
しかもその隠し機能を元コンパイラのソースから削除して配布した、かどうかは確認できてませんが。
ともかく、その結果login.cにもccのソースにもバックドアはないが、配布されたコンパイラや、それでコンパイルされたコンパイラにより、配布されたシステムすべてにバックドアができてしまった...と聞きましたっけ。
ちゃんと読めてる自信ないけど、Jargon File の"Back door"の項目を。
http://catb.org/jargon/html/B/back-door.html [catb.org]
で、結局なにが動くの？ (スコア:0)
悪意のあるコードって、具体的にどういう動作になるわけ？
iOSではカメラの起動にすら初回は認証いるんだし、悪意を持ってなにができるのかな。
アプリ固有のフレームワークを追加したところで、結局アプリ権限でしか動作しないでしょう。
バックグラウンド動作もまあできることは限られてるし、キーロガーやスクリーンショット撮影、
ユーザーデータの盗み出しやボットネット構築なんてやりようがないと思うんだけど。
あ、クリップボードぐらいは取られるかな。
それともOSの脆弱性を突くコードでも含まれてて、何でも動くようになってたとか？
Re: (スコア:0)
2つ前のストーリーに書いてあるんだけど。
悪意のあるコードに感染したiOSアプリは実行時にシステムやアプリの情報を収集してC&Cサーバーに送信する。また、ユーザーの認証情報をだまし取るために偽のアラートダイアログを表示するほか、特定のURLを乗っ取ってiOSやiOSアプリの脆弱性を攻撃したり、クリップボードのデータを読み書きしたりすることも可能だという。
まぁ、使ってないしどうもよさじ (スコア:0)
そういうこともあるさ
Re: (スコア:0)
放っておいてもApple社が勝手にアンインストールするだろうし
気にしたら敗け、と思う
ダウンロード数の情報も欲しいなぁ… (スコア:0)
T/O
以下余談
それらは、150万を超える「選び抜かれた」「圧倒的な」「驚異的な」「スマートフォンでこんなことまで出来るんだ的な」アプリケーションに含まれますか？
＃「脅威的」なのは確かなのだがｗ
信仰心が足りない (スコア:0)
iOSは安全安心Androidは危険不安と100万回唱えろ
話はそれからだ唱えてないアンチの意見なんてまったく聞き入れる必要はない
Re: (スコア:0)
アンチの意見なんてまったく聞き入れる必要はない
つまり貴方の意見も聞き入れる必要は無いと…w
# 大した脈絡もなく、信仰心が足りないとか煽るのは流石に…。
「中国のApp Storeからダウンロードした」ヤツだけ？ (スコア:0)
一応、同じアプリでも「中国のApp Storeからダウンロードした」ヤツだけらしいけど、
（Angry Bird2等は正式にそういう声明を出してます）
偽Xcodeから申請する流れを考えるとそうかもしれないが、まあ詳細を知りたいところですな。
こういうニュースは続報の方が重要だと思います。
速報のタイトルや内容はどうしても「キャッチーかつ情報不足なもの」になるからね…
あと有志のJailBreaker達によるスキャンアプリも配布されていますな。それ系で。
つーことはApple側でも把握して一括削除できると。すでにしている模様ですが。
Re:「中国のApp Storeからダウンロードした」ヤツだけ？ (スコア:1)
ついでに言うと (スコア:0, おもしろおかしい)
こういう問題をすぐに信者だのなんだのという話に持っていって
他人を嘲笑いたい人って、ホント面倒だなあと思う。
たぶん現実世界では「とってもイイ人」なんだろうけどね笑
Re:ついでに言うと (スコア:1)
>信者だのなんだの
現時点では、君を含めて二人しかそんなこと言ってないんだが
もしかして面倒なのはあなた自身ではないでしょうか？
Mercury Browser (スコア:0)
え、と思ってAppStoreで検索したところ、ボタンが「入手」でバージョンは9.4.0。
インストールされたものは9.1.0で、開発元も違うようだ。
いつの間に移っていたんだろう。
そして、今回問題になってるのは移行後のものかな。
Re: (スコア:0)
え、コレ皮肉？
それともマジで言ってんの？
Re: (スコア:0)
シッ！信仰の自由を弾圧しちゃダメですよ！
Re: (スコア:0)
入口で食い止められなかったんですがそれは…
Re: (スコア:0)
敗戦処理が迅速にできるってだけですよね。
Windowsも即応性が下がるがWindowsUpdateやアンチウィルスによって削除掛けてる実績はあるし。
Re: (スコア:0)
即応性が高いかどうかは結構重要な違いなんでは?
Re: (スコア:0)
apple はその一覧を公開する気もない。
即応性って点では、今回のは最悪のケースと言えると思うけど。
Re:水際対策 (スコア:1)
マイクロソフトだったら削除ツールの提供までやってるところだな。
Re: (スコア:0)
考え方の古いソフトウェア企業、例えばMSなら例えばIBMならそうしただろう。
大々的に告知し不正なアプリの一覧と削除ツールを提供し再発防止のための取り組みを発表していただろう。
Appleは根本的な考え方が違う。Appleは単にソフトウェアを提供しているだけの会社ではない。
Appleはエクスペリエンスを提供することを何よりも大事にする。
セキュリティのエクスペリエンスとは何か。それは「安心」だ。
利用者が不安を覚えず安心して使い続けられること。それが何よりも大事なのだ。
つまりAppleにとっては本当に安全かどうかなどどうでも良い。
Re: (スコア:0)
ストアの自動アップデートチェック周りを最大限活用すれば強制的に即削除もできるはずなのに
(これはGoogleやMicrosoftも同じはず。やるかどうかはともかく)
ストアでの公開を止めたってだけで全く活用されてなさ気なのがなんともアレ。
Re:XcodeってAppleの認証コードが埋め込まれている (スコア:1)
自分で自分の署名を検査するアプリケーションを改竄する場合常に検証成功を返せば良いだけだし、
出力データに署名を書き込むにしても改竄前の署名用データを使って署名を書き込めば突破できる。
Mac自体がインストールされる全てのアプリケーション及びデータにAppleの署名を要求するのでないかぎり、
「改竄されたXCodeのような何か」によって「無改造のXCodeでビルドしたトロイ」と区別できない出力を得ることは可能。
だけどそれ以前の話として、アプリにリンクするライブラリが署名検証対象に入っていなかったってだけ。
ライブラリはサードパーティーのも入れれるから、それら全てをAppleが審査して署名とか非現実的です。