2015-09-21
XcodeGhost関連情報を集めてみた
リンク集 | |
iOSアプリに混入したとして騒がれているXcodeGhostに関連するリンクをまとめます。
XcodeGhostとは何か
9月17日に中国のiOS開発者が発見したiOSアプリに混入するマルウェア。外部のサーバーへ情報送信を送信する機能が確認されている。
Appleのアプリストアで配信されている正規のアプリ(主に中国語圏のアプリ)がXcodeGhostの影響を受けることが確認されており、通常利用しているアプリがこの対象となる場合、利用者の情報が外部のサーバーへ送信される可能性がある。
解析記事
Xcode Ghostの解析記事は次の通り。
- XCode编译器里有鬼 – XCodeGhost样本分析 (drops.wooyun.org)
- Malware XcodeGhost Infects 39 iOS Apps, Including WeChat, Affecting Hundreds of Millions of Users (Paloalto)
- Novel Malware XcodeGhost Modifies Xcode, Infects Apple iOS Apps and Hits App Store (Paloalto)
- 已知有后门的iOS App (360 Security)
- Xcode木马样本分析及被挂马的红包插件 (360 Security)
Xcode Ghostの機能
XcodeGhostの影響を受けるアプリを起動した際に、次の情報を暗号化して外部のサーバーへ送信する。
XcodeGhostのソースコード中にもこれら情報を収集している個所がある。
この他、フィッシングやクリップボードのコピーも行われるとの情報がある。
360によれば、このXcodeGhostを通じて別のアプリをインストールすることも可能として検証動画を公開している。
正規アプリにXcodeGhostが入り込んだ原因
正規のアプリにXcodeGhostが入り込んだ原因として、PaloaltoはiOSアプリの開発環境XcodeをAppleからダウンロードするのではなく、第三者がbaiduのクラウドサービス「百度雲」に公開していたXcodeを利用していたためと分析している。このXcodeにXcodeGhostをアドオンさせる機能が付加されており、開発者がこれを知らずにiOSを開発したために今回の問題が発生したとされる。
百度雲で公開されていたXcodeは20日時点ですべて削除されている。(削除前の様子)
正規のXcodeに追加されていたファイルはPaloaltoによると次の6つのファイル。
Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/CoreService
Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/Library/PrivateFrameworks/IDEBundleInjection.framework/
Xcode.app/Contents/Developer/Platforms/iPhoneSimulator.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/CoreService
Xcode.app/Contents/Developer/Platforms/iPhoneSimulator.platform/Developer/SDKs/Library/PrivateFrameworks/IDEBundleInjection.framework/
Xcode.app/Contents/Developer/Platforms/MacOSX.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/CoreService
Xcode.app/Contents/Developer/Platforms/MacOSX.platform/Developer/SDKs/Library/PrivateFrameworks/IDEBundleInjection.framework/
http://researchcenter.paloaltonetworks.com/2015/09/novel-malware-xcodeghost-modifies-xcode-infects-apple-ios-apps-and-hits-app-store/
Xcode Ghostのソースコード
騒動の後、WeiboにXcode Ghost Authorを名乗る人物が、今回の騒ぎに関する見解と、Xcode GhostのソースコードをGithubに掲載している。
改ざんしたXcodeを投稿していたCoderfunというアカウントはGreatFire.orgによれば5か月前から活動の痕跡が確認されている模様。
IOC
XcodeGhostに関連するIOC情報
通信先の1つである「init[.]icloud-analysis[.]com」は現時点でIPアドレスが引けなくなっている。
XcodeGhostの影響が確認されているアプリ
XcodeGhostの影響が確認されたアプリとして、Paloaltoと360がそれぞれ一覧を掲載している。 Panguによれば既に800以上のアプリが影響を受けることが確認されているとのことで、リストはすべての影響を受けるアプリを示しているものではないことに注意。
影響を受けるアプリの一覧
| アプリ名 | Paloalto | FoxIt | 360 Security |
|---|---|---|---|
| 2345浏览器 | 確認 | ||
| 39健康管家 | |||
| 3D动物陆地版 | 確認 | ||
| 4+1！ | |||
| 51卡保险箱 | 確認 | ||
| 58同城 | 確認 | ||
| AA记账 | 確認 | ||
| air2 | 確認 | ||
| Albums | 確認 | ||
| AmHexinForPad | 確認 | ||
| AngelFuel | 確認 | ||
| AutoWorld | 確認 | ||
| baba | 確認 | ||
| Baseball | 確認 | ||
| BiaoQingBao | 確認 | ||
| BirthdayBash | 確認 | ||
| BlackWhiteTiles4 | 確認 | ||
| BoatTripSalon | 確認 | ||
| CamCard | 確認 | 確認 | 確認 |
| CamScanner | 確認 | ||
| CamScanner Lite | 確認 | ||
| CamScanner Pro | 確認 | ||
| CandySodaiOS | 確認 | ||
| CarrotFantasy | |||
| ChinaUnicom3.x | 確認 | ||
| ChinessChess | 確認 | ||
| CollectBoys | 確認 | ||
| ComingCall | 確認 | ||
| Costumedresssup! | |||
| CSMBP-AppStore | 確認 | ||
| CuteCUT | 確認 | 確認 | |
| DataMonitor | 確認 | ||
| ddc | |||
| DigitGod | |||
| DontMakeThemDie | 確認 | ||
| EFParents | 確認 | ||
| eHome | 確認 | ||
| Empireoftheocean | 確認 | ||
| EnglishBite | |||
| ExcavatorStunt | 確認 | ||
| FaceAgeCamera | 確認 | ||
| FashionDollHairStylist | |||
| FashionStar | 確認 | ||
| FashionStylist-Actor | |||
| FeedBaby | |||
| FilmStarSalon | |||
| fishinghappyiOS | 確認 | ||
| fishsagaiOS | 確認 | ||
| FlappyCircle | 確認 | ||
| FlyingAwesomeGolf | 確認 | ||
| FollowMe | |||
| FoodStallStory | |||
| ForestAdventure | 確認 | ||
| FromPrincesstoSuperhero | |||
| GangGouHelper | 確認 | ||
| GNum | 確認 | ||
| Golf | 確認 | ||
| golfsense | 確認 | ||
| golfsensehd | 確認 | ||
| guaji_gangtai en | 確認 | ||
| Guitar Master | 確認 | ||
| H3C易查通 | 確認 | ||
| HairSalon | 確認 | ||
| HomeEdition | |||
| Hugo | 確認 | ||
| IHexin | 確認 | ||
| immtdchs | 確認 | ||
| InstaFollower | 確認 | ||
| installer | 確認 | ||
| iOBD2 | 確認 | ||
| iVMS-4500 | 確認 | ||
| iWallPapers | |||
| IWithYou | |||
| JewelsQuest | 確認 | ||
| JewelsQuest2 | 確認 | ||
| jin | 確認 | ||
| Juniorchefmaster | 確認 | ||
| KneeDoctor | 確認 | ||
| KnowVegetables | |||
| LensCollage | |||
| Lifesmart | 確認 | ||
| LoveStar | 確認 | ||
| magicfishiOS | |||
| MagicKing | 確認 | ||
| MailAttach | |||
| MakeMeASuperStar | |||
| Mercury | 確認 | ||
| MobileTicket | 確認 | ||
| MonsterGirlsMakeover | 確認 | ||
| MoreLikers2 | 確認 | ||
| MSL070 | 確認 | ||
| MSL108 | 確認 | ||
| MSPT_Merchant | |||
| MTP管理微学 | 確認 | ||
| mts-iphone | 確認 | ||
| Musical.ly | 確認 | ||
| MusicFestivalSalon | 確認 | ||
| MyChevy | 確認 | ||
| news | |||
| nice dev | 確認 | ||
| NinjaDash | |||
| Note | 確認 | ||
| nvshen | 確認 | ||
| OPlayer | 確認 | ||
| OPlayer Lite | 確認 | ||
| OPlayer | 確認 | ||
| OPlayerLite | 確認 | ||
| PaoPaoTang | 確認 | ||
| PDFReader | 確認 | ||
| PDFReader Free | 確認 | 確認 | |
| Perfect365 | 確認 | 確認 | |
| PetCatchiOS | 確認 | ||
| Petcontestsalon | 確認 | ||
| Phone+ | 確認 | ||
| PianoTiles6 | |||
| PocketScanner | 確認 | ||
| PonySalon | 確認 | ||
| PP基金 | 確認 | ||
| PregnantEmergencyDoctor | 確認 | ||
| PrincessMakeover | 確認 | ||
| PrincessPet | 確認 | ||
| PrincessSalon | 確認 | ||
| PromHairSalon | |||
| Ps互动教程 | 確認 | ||
| Quick Save | 確認 | ||
| QYER | 確認 | ||
| Research | 確認 | ||
| SaveSnap | 確認 | ||
| Scanner+ | |||
| ScramblingSnakes | 確認 | ||
| SeaDiamondiOS | |||
| SegmentFault | 確認 | ||
| SiblingModels | 確認 | ||
| snapgrab copy | 確認 | ||
| SplitLens | 確認 | ||
| SugarCarnivaliOS | |||
| SuperJewelsQuest2 | 確認 | ||
| Superstar2 | 確認 | ||
| Taguage | 確認 | ||
| TDVideoCol | 確認 | ||
| Tennis | 確認 | ||
| Theme | 確認 | ||
| Timer运动 | 確認 | ||
| ting | 確認 | ||
| TinyDeal.com | 確認 | ||
| TurboInvoice | 確認 | ||
| UA电影票 | 確認 | ||
| UME电影票 | |||
| VGO视信 | |||
| WallpaperFlip | 確認 | ||
| Wallpapers10000 | 確認 | ||
| WallPapersHD | |||
| WallPapersHD* | 確認 | ||
| 確認 | |||
| WeddingSalon | 確認 | ||
| WeLoop | 確認 | ||
| WhiteTile | 確認 | ||
| WinZip | 確認 | 確認 | |
| WinZip Sector | 確認 | ||
| WinZip Standard | 確認 | ||
| WO+创富 | 確認 | ||
| YaYa | 確認 | ||
| YaYa药师 | |||
| YddHotelPro | 確認 | ||
| YingYue | 確認 | ||
| YOHO!有货 | 確認 | ||
| 安心理财 | 確認 | ||
| 安徒生童话 | 確認 | ||
| 暗鄢黎明 | |||
| 暗鄢战神 | 確認 | ||
| 伊索寓言故事 | 確認 | ||
| 移动办税平台 | 確認 | ||
| 一日三餐 | 確認 | ||
| 一日多餐 | |||
| 一品粥 | 確認 | ||
| 云南手机台 | 確認 | ||
| 永泰惠 | 確認 | ||
| 悦耳 | 確認 | ||
| 奥特曼横扫怪兽 | |||
| 黄瓜做法大全 | 確認 | ||
| 下厨房 | 確認 | 確認 | 確認 |
| 加拿大订餐 | 確認 | ||
| 家常小炒 | |||
| 花椒 | 確認 | ||
| 我叫MT | 確認 | 確認 | |
| 我叫MT2 | |||
| 我叫MT2攻略 | 確認 | ||
| 我有车 | |||
| 画吧 | 確認 | ||
| 快手菜谱 | |||
| 快秀 | 確認 | ||
| 快速问医生 | 確認 | ||
| 快乐备孕 | 確認 | ||
| 海玩 | 確認 | ||
| 海棠社区 | |||
| 玩机助手 | 確認 | ||
| 喜马拉雅 | 確認 | ||
| 奇幻仙侠小说 | |||
| 汽车之友 | 確認 | ||
| 客户管家 | |||
| 逆轉三國 | |||
| 牛股宝手机炒股票 | |||
| 去潜 | |||
| 玉米做法大全 | 確認 | ||
| 金税通查验 | 確認 | ||
| 桂林中医院 | 確認 | ||
| 健康交行 | 確認 | ||
| 原油喊单 | |||
| 言情小说专集 | 確認 | ||
| 言情小说吧 | 確認 | ||
| 股市热点 | 確認 | ||
| 股票雷达 | 確認 | ||
| 公交e路通 | |||
| 公交来了 | 確認 | ||
| 口袋机战 | 確認 | ||
| 口袋记账 | |||
| 口袋记账 | 確認 | ||
| 口语100 | 確認 | ||
| 好吃吗 | 確認 | ||
| 工作宝 | |||
| 工银融e联 | 確認 | ||
| 幸福相馆 | 確認 | ||
| 康康在线 | 確認 | ||
| 恒泰金玉管家 | 確認 | ||
| 恒富在线 | 確認 | ||
| 航海王启航 | 確認 | ||
| 航海大时代 | 確認 | ||
| 高紱地图 | 確認 | 確認 | |
| 合不拢嘴 | 確認 | ||
| 合理用药 | 確認 | ||
| 国海极速开户 | 確認 | ||
| 三国名将 | |||
| 支付通QPOS | 確認 | ||
| 支付通签约宝 | 確認 | ||
| 自由之战 | |||
| 自由之战iPad | 確認 | ||
| 集享卡 | 確認 | ||
| 重庆银行 | 確認 | ||
| 小吃点心大全 | 確認 | ||
| 掌证宝天玑版 | |||
| 心健康 | 確認 | ||
| 心脏病防治 | 確認 | ||
| 新三板 | 確認 | ||
| 申万宏源 | 確認 | ||
| 神雕侠侣 | |||
| 仁和珠宝 | 確認 | ||
| 星派送 | 確認 | ||
| 精品后宫小说 | |||
| 西餐食谱 | 確認 | ||
| 西部信天游 | 確認 | ||
| 西游记评书 | |||
| 青岛公交查询 | 確認 | ||
| 税吧 | |||
| 舌尖上的美味 | 確認 | ||
| 穿越小说 | 確認 | ||
| 素菜食谱 | |||
| 素菜大全 | 確認 | ||
| 造梦西游OL | 確認 | ||
| 代理人微店 | 確認 | ||
| 大众妙客 | 確認 | ||
| 卓创短讯 | 確認 | ||
| 卓创农业 | 確認 | ||
| 蛋糕叔叔 | 確認 | ||
| 地图木拼 | |||
| 智慧树 | 確認 | ||
| 中医常见疾病 | |||
| 中医百科 | 確認 | ||
| 中国太保 | 確認 | ||
| 中国大学慕课 | |||
| 中国联通手机营业厅 | 確認 | ||
| 中信银行动卡空间 | 確認 | ||
| 中搜搜悦 | 確認 | ||
| 中药方剂辞典 | 確認 | ||
| 程序员读 | |||
| 滴滴司机 | 確認 | ||
| 滴滴出行 | 確認 | 確認 | |
| 滴滴打车 | 確認 | ||
| 天涯社区 | |||
| 天使房贷 | |||
| 斗牛牛 | 確認 | ||
| 途游中国象棋 | 確認 | ||
| 途游麻将 | |||
| 途游紱州扑克 | 確認 | ||
| 途游欢乐牛牛 | |||
| 都都宝 | 確認 | ||
| 土豆做法大全 | 確認 | ||
| 淘金路 | 確認 | ||
| 豆腐做法大全 | 確認 | ||
| 豆瓣阅读 | 確認 | ||
| 同花顺 | 確認 | 確認 | |
| 同花顺 | 確認 | ||
| 同花顺至尊版 | 確認 | ||
| 特色西餐 | 確認 | ||
| 南瓜饼做法 | 確認 | ||
| 南京银行 | |||
| 南京银行HD | 確認 | ||
| 南方航空 | |||
| 猫市台湾快食 | 確認 | ||
| 猫豆 | 確認 | ||
| 猫团动漫 | 確認 | ||
| 博客下载-For新浪 | 確認 | ||
| 拍鞋网 | |||
| 微信 | 確認 | 確認 | |
| 微博相机 | 確認 | 確認 | |
| 微调查 | 確認 | ||
| 微贷网理财 | |||
| 美菱生活 | |||
| 美味奶茶DIY | 確認 | ||
| 美丽家 | 確認 | ||
| 必趣视频 | 確認 | ||
| 百度音乐 | 確認 | ||
| 百度财富 | 確認 | ||
| 付融宝 | 確認 | ||
| 夫妻床头话 | 確認 | ||
| 夫妻床头话 | 確認 | ||
| 富通贷 | 確認 | ||
| 部落冲突攻略 | 確認 | ||
| 福州市民网 | 確認 | ||
| 平安易贷 | 確認 | ||
| 米乐汇斗地主 | |||
| 包子做法大全 | |||
| 暴走表情包 | |||
| 北京工行Style | 確認 | ||
| 摩擦 | 確認 | ||
| 漫画魔屏 | |||
| 漫画帮 | 確認 | ||
| 面包做法大全 | 確認 | ||
| 有财股票开户 | |||
| 沃玩家 | 確認 | ||
| 留学僧 | |||
| 礼包助手 | 確認 | ||
| 零钱包 | 確認 | ||
| 冰品饮品DIY | 確認 | ||
| 凉菜食谱 | |||
| 卷皮 | 確認 | ||
| 梦幻战神 | 確認 | ||
| 拇指医学院 | 確認 | ||
| 炒股公开课 | 確認 | ||
| 炒股入门 | 確認 | ||
| 炒饭做法大全 | 確認 | ||
| 琅琊榜 | 確認 | ||
| 粽子大全 | 確認 | ||
| 糯米饭 | 確認 | ||
| 网易云音乐 | 確認 | 確認 | 確認 |
| 网易公开课 | 確認 | ||
| 网络医院 | 確認 | ||
| 优品速达 | 確認 | ||
| 你我贷 | 確認 | ||
| 动卡空间 | 確認 | ||
| 卡曼 | 確認 | ||
| 嘟嘟 | |||
| 图钉 | |||
| 妈妈圈 | 確認 | ||
| 妈妈值得买 | 確認 | ||
| 开眼 | 確認 | ||
| 录音宝 | |||
| 愤怒的小鸟 | 確認 | ||
| 懒人私房菜 | 確認 | ||
| 懒人周末 | 確認 | ||
| 战地征服 | |||
| 战舰少女攻略 | 確認 | ||
| 挖掘机大师3D | 確認 | ||
| 桌上坦克 | 確認 | ||
| 烘焙秘方 | 確認 | ||
| 烘焙烤箱食谱 | |||
| 爱推 | 確認 | ||
| 爱竞彩 | |||
| 牵牛 | 確認 | ||
| 电掌柜 | |||
| 电话归属地助手 | 確認 | ||
| 电话归属地助手 | 確認 | ||
| 疯狂24点 | 確認 | ||
| 疯点 | 確認 | ||
| 穷游 | 確認 | ||
| 穷游 | 確認 | ||
| 简书 | 確認 | ||
| 绿色浏览器 | 確認 | ||
| 耍大牌 | 確認 | ||
| 联趣斗地主 | 確認 | ||
| 聪头 | |||
| 荤菜食谱 | 確認 | ||
| 药给力 | |||
| 药给力 | 確認 | ||
| 营养早餐 | 確認 | ||
| 营养早餐食谱 | |||
| 讯飞输入法 | 確認 | ||
| 诊疗助手 | |||
| 语玩 | 確認 | ||
| 读名著学英语 | 確認 | ||
| 读么 | |||
| 财新周刊 | 確認 | ||
| 财富 | 確認 | ||
| 财理你 | |||
| 财达同花顺 | 確認 | ||
| 车星人 | 確認 | ||
| 轻松e贷 | 確認 | ||
| 钱宝有票 | 確認 | ||
| 钱宝网 | 確認 | ||
| 铁路12306 | 確認 | ||
| 银耳汤做法 | 確認 | ||
| 银泰掌如e.1.3 | 確認 | ||
| 问他作业 | 確認 | ||
| 风云三国2 | 確認 | ||
| 马拉马拉 | 確認 | ||
| 鱼的做法 | 確認 | ||
| 鱼说 | 確認 | ||
| 鲫鱼做法大全 | 確認 |
検出ツールでの確認
Pangu Teamが公開したアプリ「X病毒检测」でXcode Ghostの影響を受けるアプリが存在しないか確認することが可能。ただし正規のアプリストア経由で配信されているわけではない。
- http://x.pangu.io/ (Pangu Team)
- AppStoreからも感染するウイルス「XcodeGhost」の検知アプリをPanguが公開 (Tool 4 Hack)
関連記事
- 中国製iOSアプリ、マルウエアに多数感染 異例のアップル標的 (WSJ)
- App Storeからも感染するiOSの深刻なマルウェア”Xcode Ghost”に要注意!現状と対策 (小龍茶館)
- App Storeのアプリ多数にマルウェアが混入、パスワード盗難の危険。中国発の改竄コンパイラXcodeGhostが原因 (Engadget)
- 344ものiOSアプリが感染し、AppStoreでも配信されていた！ マルウェアXcodeGhostに感染したアプリに注意 (I believe in technology)
- 安全神話が・・・人気iOSアプリがマルウェアに感染！！(iPhone Mania)
更新履歴
- 2015年9月21日 PM 作成