モバイルセキュリティ企業Wanderaは24日、AppleのApp Storeで発見したマルウェア感染アプリ17本の詳細を公表した(Wanderaのブログ記事、 Help Net Securityの記事、 9to5Macの記事、 Softpediaの記事)。

アプリを公開していたのはインドのAppAspect Technologies Pvt. Ltd.という開発者。Wanderaのテストによれば、17本が広告を勝手にクリックするクリッカー型トロイの木馬のコードに感染しており、C&Cサーバーと通信する機能も備えていたという。通信先のC&Cサーバーは8月にDoctor Webが存在を報告したものと同一で、この時はAndroidをターゲットにした同様のクリッカーキャンペーンで使われていたとのこと。

App Storeにはマルウェアを報告するための窓口がないそうだが、Wanderaは過去にApple製品のセキュリティに関して協力したことのあるAppleのチームに連絡を取り、監視を続けていた2本を除きすべて削除されたと述べている。ただし、現在は17本すべてが削除されているようだ。一方、AppleはHelp Net Securityに対し、偽の広告クリックを発生させるアプリ18本をガイドライン違反で削除し、今後同様のアプリを検出できるようツールを更新したことを伝えたという。なお、Wanderaではテストした無料アプリ51本のうち17本が感染アプリだったと述べているが、17本のうち5本は有料アプリだった。また、現在App Storeで公開されているAppAspectのアプリは2本のみとなっており、大半のアプリが削除されたことになる。

AppAspectのWebサイトで公開されているアプリのリストには、App Storeへのリンクが記載されたアプリが28本(1本は別の開発者名で公開されているもの)あり、26本がApp Storeから削除済みになっている。うち10本がWanderaのリストと重複し、5本はWanderaのリストにある有料アプリの無料版だ。AppAspectはGoogle Playでも28本のアプリを公開しているが、WanderaのテストではC&Cサーバーと通信している形跡は見つからなかったそうだ。ただし、過去にはアプリがマルウェアに感染してGoogle Playから削除されたこともあるという。

今回の感染コードが意図的に組み込まれたものかどうかは不明だが、開発者アカウントがApp Storeから削除されていないことから意図的ではなかったと判断された可能性もある。

米国・ニュージャージー地区の連邦検事局は24日、カリフォルニア州クパチーノに本社を置く世界的テクノロジー企業(Apple)の元法務部長Gene Levoff氏をインサイダー取引で起訴したと発表した(プレスリリース、 CNBCの記事、 9to5Macの記事、 Mac Rumorsの記事)。

Levoff氏はAppleの業績が好調な場合は業績発表前に大量のApple株を買い付け、発表後に値上がりしたタイミングで売却していたほか、業績が不調な場合は発表前に売却していたという。Appleでは四半期決算発表前に業績データを閲覧可能な個人に対し、株式の売買を禁じる「ブラックアウト」期間を設定しており、Levoff氏はブラックアウト期間に入ったことを該当者に伝えたのち、自ら禁じられた取引を行っていたこともあるとのこと。インサイダー取引は2011年から2016年にかけて行われたといい、起訴事実は証券詐欺6件および電信詐欺6件となっている。

今年2月に証券取引委員会(SEC)がLevoff氏を同容疑で民事告発した際、Appleは昨年夏に当局から連絡を受け、外部の法律専門家の協力を得た徹底的な調査の末にLevoff氏を解雇したとCNBCに伝えたという。今回の起訴を受け、Levoff氏の弁護士は精力的に戦うとCNBCに語っているとのことだ。

headless曰く、

Apple CEOのティム・クック氏が中国・清華大学経済管理学院の諮問委員長に就任したそうだ（同学院の発表、The Verge、South China Morning Post、Mac Rumors）。

クック氏は18日、任期を終えて退任するBreyer Capitalのジム・ブライヤー氏に代わって諮問委員長に就任。同日開催された諮問委員会年次総会の議長を務め、今後3年にわたり委員全員と協力して世界一流の経済学・経営学の学院にするよう努める、と述べたとのこと。

18日には退任する委員と新たに就任する委員も紹介されたとのことなので現職かどうかは不明だが、諮問委員の名簿にはマイケル・デル氏やサティア・ナデラ氏、イーロン・マスク氏、出井伸之氏、孫正義氏なども名を連ねる。クック氏は2013年から諮問委員を務めているとのことだ。

Googleの写真ストレージサービスGoogleフォトの無料プランでは、16メガピクセル以上のサイズの写真についてはアップロード後に強制的にファイルサイズを小さくするための圧縮処理が行われるが、iPhoneからアップロードされたHEIF形式の写真については16メガピクセルを超えていてもこの処理が行われないが分かったという。Googleはこれについて「不具合」だとして修正する方針のようだ（iPhone Mania、Engadget日本版）。

HEIF形式は高圧縮が期待できるためファイルサイズが小さい傾向にあり、またその変換処理には負荷がかかることからオリジナルのファイルのまま写真を保存したのではないかと推測されている。

Anonymous Coward曰く、

iOS 12.2ベータ2以降では、詐欺サイトの確認のためにWebサイトの閲覧前にそのアドレスを「Tencent Safe Browsing」に送信するようになっているという（iPhone Mania）。これはiOS 13でも同様だという。

設定アプリで「詐欺Webサイトの警告」がオフになってるスラドのプライバシーが硬い諸君には関係ない話だが。

今まで詐欺サイトの確認にはGoogle Safe Browsingが使われていたが、新たにTencent Safe Browsingも使われるようになったということのようだ。これに対しては、送信された情報がユーザーの特定や追跡などに使われる可能性があるのではないかとの危惧も出ている。

セキュリティ企業Morphisecが、「Apple Software Update」ツールにゼロデイ脆弱性が存在し、これがランサムウェアによる攻撃に悪用されていたことを報告している。

このツールはWindows版のiTunesやiCloudに同梱されており、10月7日にリリースされたiTunes for Windows 12.10.1やiCloud 10.7、iCloud 7.14ではこの脆弱性が修正されているとのこと。

問題の脆弱性は「unquoted path vulnerability」（引用符で囲まれていないパス）の処理に関連するもので、悪意のあるユーザーがこれを悪用することで悪意のあるプログラムを実行させることができるという。また、Apple Software UpdateはiTunesなどをアンインストールしても残されるとのこと（別途アンインストール作業が必要となる）。そのため、多くのマシンにこのコンポーネントが存在している可能性があるという。

10月7日にリリースされたmacOSの新バージョン「Catalina（macOS 10.15）」で、Chromeが「ヒラギノ角ゴPro/ProN」フォントを使えない、という問題が報告されている。Catalinaではヒラギノ角ゴPro/ProNが無くなっているためとの話もあるが、AAPL Ch.によるとHigh Sierra（macOS 10.13）の時点ですでにこの変更は行われており、Catalinaでもヒラギノ角ゴPro/ProN自体は利用できるという。

chromiumのissueトラッカーでもこの問題は報告されており、Chrome側の問題の可能性もある。

なお、この影響でCSSで表示フォントとしてヒラギノ角ゴPro/ProNを指定したサイトで適切なフォントでページが表示されないという問題も発生しているようだ。

Appleは10日、香港の民主化デモと警察の動きを地図上に表示するアプリ「HKmap 即時地圖」をApp Storeから削除した(South China Morning Postの記事、 The Vergeの記事、 Reutersの記事、 Mac Rumorsの記事)。

このアプリはWebサイト「HKmap.live」の公式アプリ。Webサイトで提供されている地図データをアプリ内で表示できるようにしたもので、ユーザーから提供された情報をもとにデモの実施状況や警察の動きを確認できる。当初の審査でAppleは、警察の取り締まりを逃れるための情報を提供して非合法な活動を支援するものだとして却下していた。開発者は香港での安全情報を提供するためのもので違法行為を推奨してはいないなどと主張しており、その後の再審査で反論が認められてアプリは10月5日ごろ公開された。

アプリは香港のApp Storeで「旅行」カテゴリ1位(Googleキャッシュ)になるなど人気を集める一方、暴徒を支援しているなどと中国国営メディアから強く批判されることになる。アプリが削除されたのはその翌日だが、Appleではアプリの情報が警察官への攻撃や、警察の見回りがない区域での犯罪に悪用されているとの確証を得たと述べており、中国政府からの圧力には触れていないようだ。なお、Apple CEOのティム・クック氏が従業員に宛てたとされるメモもPastebinで公開されているが、このメモにも同様の記述がみられる。このメモの出所は不明だが、最後に「Tim」と書かれている以外はBloomberg Newsが入手したというメモの内容と同一だ。

公式アプリのパブリッシャー、BackupHKが別途公開した非公式アプリもApp Storeから削除されているが、Android版の非公式アプリは現在もGoogle Playで公開されており、HKmap.liveサイトも引き続き利用可能だ。

Anonymous Coward曰く、

iPhone 11 Proシリーズで、突然通信ができなくなる不具合が報告されているようだ（Engadget日本版）。

電波強度表示はそのままで通信ができなくなるようで、電源をいったんオフにして再度オンにするしか対応策はないという。

国内外でこの問題は報告されているようで、国内ではドコモユーザーからの報告が多いようだが、auやソフトバンク回線でも報告があるようだ。

Anonymous Coward曰く、

ロシア人男性がiPhoneアプリ経由でBitCoinを購入したところ、BitCoinではなく「GayCoin」なるものが送られてきて、「男は度胸、何でも試してみるのさ」とばかりに試してみたら同性の恋人ができてしまったとしてAppleに100万ルーブルの損害賠償を求め提訴したそうだ（AFP）。

このアプリはそもそもAppStore経由ではないルートでインストールしたもののようで、ツッコミどころ多数。なおロシアでは同性愛は迫害されているそうだ。

これに対し、RedditではGayCoinの売名を目的とした訴訟なのではないか、との意見も寄せられている。

headless曰く、

Appleは4日、一部のコンポーネントの故障により特定のiPhone 6s/6s Plusで電源が入らなくなる可能性があるとして、無償修理プログラムを開始した（Appleサポート、The Verge、Neowin、Ars Technica）。

対象となるのは2018年10月～2019年8月に製造され、シリアル番号が特定の範囲内にあるものだという。実際に無償修理プログラムの対象になるかどうかは、上記のサポートページでシリアル番号を入力すれば確認できる。どこで販売されていたものかは不明だが、現在AppleのオンラインストアでiPhone 6s/6s Plusが製品ラインアップに含まれている国・地域は見当たらなかった。日本のオンラインストアでは少なくとも2018年10月時点で製品ラインアップに含まれていなかったため、日本の個人ユーザーが影響を受ける可能性は低そうだ。

Bill Hates曰く、

アニメ「機動戦士ガンダム」に登場する「ザク」を模した二足歩行ロボットでロボット技術やプログラミングを学べるキット「ジオニック社公式MS講習コース ZEONIC TECHNICS（ジオニックテクニクス） Robotics and Programming CourseＩ」が2020年3月に発売されることが決定した。価格は税込9万8,890円（ロボスタ）。10月11日（金）20時より予約が開始される。

組み立ててとプログラミングが楽しめる教材で、歩行も可能になるとのこと。今後このザク用の脚部が2種類展開されるようであるが、赤い1本角や連邦の白いのが出たりするのだろうか。iOSおよびAndroidのスマートホン・タブレットのアプリでの制御になるが、ガンプラバトルが実現する日は近いのだろうか。

jailbreak（脱獄）をせずにiOSデバイスに任意のアプリをインストールできるという「AltStore」なるサービスのプレビュー版が公開されている（Engadget日本版、The Verge）。

iOSでは公式のAppStore以外からのアプリインストールが原則として認められておらず、そのためAppleの審査を受けて許可を得たアプリしか利用できない。サードパーティが提供するアプリストアも存在するものの、利用するにはOSの脆弱性などを利用した脱獄を行う必要があった。AltStoreはmacOSもしくはWindowsアプリケーションに「AltServer」というソフトウェアをインストールし、このAltServer経由でアプリをインストールする仕組み。

AltServerではiOSアプリ開発者が自身の端末でアプリをテストするための仕組みを使ってiOSデバイスにアプリをインストールしているという。

パッチ不可能なBoot ROM(SecureROM)の脆弱性を利用し、古いiOSデバイスの脱獄を可能にするという「checkm8 (チェックメイト)」が発表された(開発者のツイート、 GitHubリポジトリ、 Mac Rumorsの記事、 Ars Technicaの記事)。

脆弱性はA5～A11チップのBoot ROMに存在し、iPhoneではiPhone 4S～iPhone 8/Xに該当する。現在公開されているのは開発途中のエクスプロイトの段階であり、MacにUSB接続したiOSデバイスからBoot ROMのダンプとキーバッグの復号、JTAGの有効化のみが可能となっている。Cydiaと組み合わせて利用できる完全な脱獄も可能だが、それにはまだまだ作業が必要だという。開発者のaxi0mX氏はiOS 12ベータでiBootのUSBコードに存在する脆弱性が修正された際にcheckm8の手法を発見したそうだ。

Google Chromeがアップデートに使用する「Keystone」というプログラムのバグが原因で、一部のMacが正常に起動しなくなるトラブルが23日に相次いでいたそうだ(Varietyの記事、 Neowinの記事、 Ars Technicaの記事、 Issue 1007358)。

このトラブルはハリウッドの映画スタジオなどで編集作業に使用するMac Proで数多く報告されており、当初はその多くで使われていたAvidのMedia Composerが疑われていた。しかしその後、Google ChromeのKeystoneバージョン1.2.13.75にバグがあり、アップデートを実行する際にシンボリックリンク/varを削除してしまったことが原因だと判明する。

ただし、Macのすべてで発生する問題ではなく、OSのシステム整合性保護 (SIP)が無効化されているかSIP非搭載の古いバージョン(SIPはOS X El Capitan以降に搭載)で、ログインユーザーにルートディレクトリ(/)への書き込み権限が必要となる。なお、/varからrestrictedフラグが削除されている場合にはSIPが有効でも発生することが確認されている。

Googleでは問題が修正されるまでリリースを停止しており、当初は macOS復元の復元システム上でアップデートプログラムを削除してシンボリックリンクを再作成するという修正手順を紹介していたが、その後 macOS復元からmacOSを再インストールする手順に差し替えている。