企業内で生き残るXcodeGhost感染アプリ、XcodeGhost自体も進化 10
ストーリー by headless
進化 部門より
進化 部門より
9月に話題となった改変版Xcode「XcodeGhost」だが、FireEyeの調べによると現在も210の企業内ネットワークからXcodeGhostで作成されたiOSアプリとC&Cサーバーとの通信が確認されているそうだ。また、XcodeGhost自体もiOS 9に対応したXcode 7ベースに進化しているとのこと(FireEyeのブログ記事、
PCWorldの記事、
9to5Macの記事、
Softpediaの記事)。
XcodeGhostで生成したiOSアプリにはAppleのコードレビューで発見されない悪意のあるコードが仕込まれ、9月には1,000本近い感染アプリがApp Storeで公開されていた。Appleでは感染の判明したアプリを削除し、多くの開発者が正規のXcodeで作成したバージョンに更新を行っているが、アプリを更新せずに感染したまま使い続けている人もいるようだ。検出件数の大半を占めるのが既に修正版の提供されている「WeChat」と「网易云音乐」の未修正バージョンとなっている。
4週間で企業内ネットワークからC&Cサーバーへの接続試行が28,000回以上検出されており、検出数が多いのはドイツ(62%)、米国(33%)、フランス(3%)、オランダ(2%)、日本(0.09%)の5か国。C&Cサーバーは攻撃者の管理下にはないが、脆弱性があるため簡単に攻撃者が乗っ取り可能な状態とのこと。C&Cサーバーとの接続で可能になる動作としては、App Store以外からアプリを配布することやURLを開かせること、App Storeのダウンロードページを直接開いて任意のアプリを宣伝すること、フィッシング詐欺のウィンドウを開くことが確認されている。
FireEyeが「XcodeGhost S」と呼ぶXcode 7ベースのXcodeGhostは、iOS 9のセキュリティ機能を迂回してC&Cサーバーに接続可能なアプリを生成する。iOS 9のデフォルトではアプリとサーバーの接続にはHTTPSが必須となっているが、C&Cサーバーのドメインを例外に設定することでHTTPでの接続を可能にする。さらに、C&Cサーバーのドメイン名をハードコードせず、コード内で構築する仕組みにすることで静的な検出を防ぐという。XcodeGhost Sで作成したアプリはApp Storeで既に1本発見されており、FireEyeの通知によりAppleが削除しているとのこと。なお、このアプリ「自游邦」は修正バージョンが公開されているようだ。
XcodeGhostで生成したiOSアプリにはAppleのコードレビューで発見されない悪意のあるコードが仕込まれ、9月には1,000本近い感染アプリがApp Storeで公開されていた。Appleでは感染の判明したアプリを削除し、多くの開発者が正規のXcodeで作成したバージョンに更新を行っているが、アプリを更新せずに感染したまま使い続けている人もいるようだ。検出件数の大半を占めるのが既に修正版の提供されている「WeChat」と「网易云音乐」の未修正バージョンとなっている。
4週間で企業内ネットワークからC&Cサーバーへの接続試行が28,000回以上検出されており、検出数が多いのはドイツ(62%)、米国(33%)、フランス(3%)、オランダ(2%)、日本(0.09%)の5か国。C&Cサーバーは攻撃者の管理下にはないが、脆弱性があるため簡単に攻撃者が乗っ取り可能な状態とのこと。C&Cサーバーとの接続で可能になる動作としては、App Store以外からアプリを配布することやURLを開かせること、App Storeのダウンロードページを直接開いて任意のアプリを宣伝すること、フィッシング詐欺のウィンドウを開くことが確認されている。
FireEyeが「XcodeGhost S」と呼ぶXcode 7ベースのXcodeGhostは、iOS 9のセキュリティ機能を迂回してC&Cサーバーに接続可能なアプリを生成する。iOS 9のデフォルトではアプリとサーバーの接続にはHTTPSが必須となっているが、C&Cサーバーのドメインを例外に設定することでHTTPでの接続を可能にする。さらに、C&Cサーバーのドメイン名をハードコードせず、コード内で構築する仕組みにすることで静的な検出を防ぐという。XcodeGhost Sで作成したアプリはApp Storeで既に1本発見されており、FireEyeの通知によりAppleが削除しているとのこと。なお、このアプリ「自游邦」は修正バージョンが公開されているようだ。
興味本位ですが (スコア:0)
このソースコード見てみたい。結果がURL名になるようなサブルーチンとは一体いかなるものか
Re:興味本位ですが (スコア:1)
私も疑問に思いました…
FireEyeのブログ記事のFigure 7に書いてありますよ。
まぁ確かにコード内で構築してますなぁ。
Re: (スコア:0)
圧縮か暗号化して使うとき展開する程度なんじゃないかと予想していたら、本当にコードで作っていて驚き。
Re:興味本位ですが (スコア:1)
コードで作っていると聞いて、「ひょっとしたら一文字ずつAppendしてたりして(笑)」とか思ってたら本当にそうだったでござる
Re: (スコア:0)
ハッシュ値とかじゃねーの
うちも号令かけて調べないといけない (スコア:0)
少し聞き取りするとご本家重いからってよくわからないところからダウンロードした事例がちらほら…！
ひー・・・
Re:Linuxだから安全、それが彼の口癖だった。 (スコア:2)
逝ケテル我々が配布した結果が幽霊だらけということですね。
Re: (スコア:0)
MacじゃなくてiOSの企業内アプリの話をしてるんですが…。
Re: (スコア:0)
びっくりするのは、コピペとかでなくてわざわざこの駄文を手打ちしてる点ですね。
ただいま もちん中