昨日、マルウェアに感染したXcode（開発ツール）が中国で公式サイトではないサイトからダウンロードされて出回り、それを使って開発されたアプリには“XcodeGhost”と名付けられた深刻な影響を与えるマルウェアが仕込まれ、それが拡がっているという情報が中国のメディアiFanrから報道された。

爱范儿

 

27 Pockets

iOS 大危机，XcodeGhost 病毒入侵多款大牌应用

http://www.ifanr.com/564386

苹果设备很安全固有印象如今已经面临了诸多挑战，Mac 之前已经局部崩溃，这一次 iOS 设备则面临了非常严峻的危机。

※当記事は9月19日に公開したものだが、その後情報が続々と出てくるので、有用な情報があり次第最新版に更新していく。

Xcode Ghost感染ルートとは

改変されたXcodeで開発されてXcode Ghostに感染しているアプリで、運悪くアップルの審査を通過してしまったものは既にApp Storeに公開されてしまっている（しかもその数量は数百〜数千に上るとみられている）。

脱獄（ジェイルブレイク、Jailbreak）などをしていなくても、普通にApp Storeから感染したアプリをダウンロードして実行するだけでデバイスが感染してしまうのだ。

というわけで、中国とは関係ない、脱獄などしたことがない人でも感染する可能性もあるので、必ず検出はしてほしい。

App Storeで中国系のアプリをダウンロードしている人は特に要注意だ。ちなみにあまり中国系だということが知られていないアプリも含まれているので要注意だ。名刺管理アプリ”camcard”などは使っている人が多いのではないだろうか。。

Xcode Ghostの攻撃方法とは

Saicの研究によって指摘されたXcode Ghostの攻撃方法を紹介する。Xcode Ghostはパスワードが漏れたり、資産を盗み取られたりする危険なマルウェアだと認識しておこう。

クリップボードの内容を送信する

コピーしたテキストや画像などの内容が攻撃者のサーバに勝手に送信されてしまう。パスワード管理アプリなどでパスワードをコピーすると、その内容が漏れてしまうわけだ。これは非常に怖い。

アプリ使用中にポップアップウインドウを出し、支払いなどを行わせることも可能

感染したアプリを使用している間は、そのアプリは自由に疑似のポップアップウインドウを出すことができる。これも曲者だ。

例えば支払いに関するポップアップウインドウが現れ、支払いに失敗したので、とあるリンク先で支払いを行うか（実際に支払いが行われるほか、支払いに関する情報も盗み取られる）またはとあるアプリの企業インストール版をインストールするように勧められる。そしてユーザがAppleの審査を経ていないアプリをインストールすると、そのプログラムにはシステムを利用したAPIがしかけられており、更なる攻撃をするというものだ。更に自由がきくアプリをインストールさせられてしまうのだから、怖い。

Xcode Ghostへの対策

現在中国に限らずApp Storeに出回っているものでも、リストに入っているものはXcode Ghostに感染している。まずは検出し、そしてアプリを削除することだ。

感染対象リストに入っているアプリを使う必要がある人は、対象バージョンではないバージョンのアプリを用意するか、アプリのアップデートを待ってからインストールすること。

Xcode Ghostに感染したアプリの検出ツールで検出

脱獄ツールの開発で有名な中国のハッカーチーム、「Pangu（盤古）team」がXcode Ghostの検出ツールを公開しているのでこれを利用するのが最も手っ取り早い検出のやり方だ。記事投稿時点で800以上のアプリを検出可能で最も信頼できるといえるだろう（もう何が信頼できるのかよくわからなくなってきたが）。

1. iPhoneなどiOSデバイスのSafariから、http://x.pangu.io/ にアクセス、”立即下载（すぐにダウンロード）”ボタンをタップし、アプリをダウンロードする。1回タップするだけで自動的にダウンロードされる。iOS 9の場合は、インストール後に設定＞一般＞プロファイルで「Shenzhen Avaintel Technology Co., Ltd.」を『信頼する』に設定してから起動すること。
   
2. ダウンロードした【X病毒检测】アプリを起動。
   
3. iOS 8の場合、「信頼されていないAppデベロッパ」というウインドウが出るので、信頼をタップ。
   
4. “点击检测Xcode病毒（タップしてXcodeウイルスを検出）”をタップ
   
5. リストが出たら、それが検出されたアプリだ。私は幸いにも感染しているアプリはなかったので、この画像はPanguの公式Weiboから。
   
6. 画面が遷移し、以下のような「恭喜（おめでとう）！」という表示が出たら、おめでとうございます！Xcode Ghostに感染したアプリはないということ。
   

リストから照合して検出

上記のPanguの検出ツールも中国製なので怖いという人は記事の下の方の感染アプリリストをいちいちチェックして、該当のアプリを探し出すしかない。頑張って！としか。。

感染したアプリを検出・発見したら削除

感染したアプリを削除すれば今のところ大丈夫といわれているので、まずはアプリの削除を。また念のため検出されたらクリーンに復元をしておきたいところ。

その他の対策

• Xcodeを含むAppleが無償・有償で公開しているアプリは第三者のサイトからダウンロードせず、必ず直接Appleのサイト、或いはMac App StoreやiOSのApp Storeからダウンロードすること。
• 中国製のファイルダウンローダーやP2Pファイル交換アプリは使用しないこと。
• App Storeによるアプリの自動更新を切っておくこと。設定＞iTunes & App Store＞自動ダウンロードで、“アップデート”の項目をオフにしておくこと。また、”App”の項目もオフにし、同じApple IDで管理している他の端末からの影響を受けないようにすること。
• 上記のSaicの研究結果のような支払い要求ウインドウが出ても無視し、該当のアプリを削除すること。

Xcode Ghostの作者からの声明文（謝罪文）

中国で既に騒ぎになった後のタイミングで、中国版TwitterのWeibo（微博）にて、9月19日にXcode Ghostの作者から声明文が投稿されている。

翻訳は以下の通り。

いわゆる”XcodeGhost”に関する釈明

まず、Xcode Ghost事件が皆様に与えました迷惑についてお詫びいたします。XcodeGhostはもともと私自身の実験のために作られ、何ら脅威をもたらすような動作はしません。詳細はコードのソースをご覧ください。https://github.com/XcodeGhostSource/XcodeGhost

いわゆる”XcodeGhost”は一人の生活苦のデベロッパの意外な発見に端を発します。Xcodeのコンパイルバージョンにコードを追加することができることがわかったため、上記のコードを入れてみて、自分のクラウドストレージ上に置いたのです。

コードが取得する全てのデータは実際には基本的にアプリの情報です。アプリ名、アプリバージョン番号、システムバージョン、言語、国、デベロッパ記号、アプリのインストール時刻、デバイス名称、デバイスの種類です。それ以外には何らデータを取得しません。鄭重に説明しなければならないのは、私心によってコードに広告を入れ、そこで自分のアプリが宣伝できるようにしたいと思ったことです（心ある人はソースコードで確認してみてください）。しかし実際には最初から最後までサーバは閉じたままで、この広告機能は使っていません。また10日前に私はこのサーバを閉じ、全てのデータを削除しましたので、どなたにも影響を与えることはありません。

真相は明らかになったので噂はここまでにしていただければと願っています。いわゆる”Xcode Ghost”は以前の間違った実験で、単に死んだコードに過ぎません。

強調しなければならないのは、XcodeGhostはどんなアプリの使用にも影響しませんし、プライバシー情報を取得するようなこともありません。

もう一度、誠意をこめてお詫びいたします。皆様よい週末を。

主な内容は言い訳と謝罪だが、あまりに無責任な言い方だ。不正なやり方で、しかも広告まで入れようとしていたのだ。しかも未遂だったからいいでしょ、という開き直りにも見える。

中国国内からも作者への批判

Weiboのこの書き込みにはさすがに中国人からも批判のコメントばかり書き込まれている。そのうちの2つ、的を射ているコメントを紹介しよう。

真相はこうだ。ある泥棒が家宅に侵入し窃盗行為を働いた。家主が警察に通報し、警察が大捜索を開始したところ、その泥棒がメガホンを持って「私が初めてやった者です。盗んだものは全て捨てました。家主には何の影響もありませんので、この事件はなかったことにしてください。もう二度とやりませんので見逃してください」とメガホンを持って叫んだ。

意味は：「私がやりました、でも妊娠には至りませんでした」

作者が公開していたbaidu cloud（百度雲）上のXcode Ghost入りのXcodeは既に削除

Xcode Ghostの作者とされているCodefunのbaidu cloud（百度雲）からダウンロードされた【Xcode GhostがアドオンされたXcode】を使って開発されたアプリが今回騒ぎになっているのだが、その大本のXcodeは既に消去されている。

なお、このXcode Ghostの作者といわれているCodefunというアカウントは、6ヶ月前から活動を開始していたとGreatFireから報告されている。

zh.greatfire.org

 

1 User

68 Pockets

中国流行的iOS应用遭到前所未有的恶意软件感染 | GreatFire.org

https://zh.greatfire.org/blog/2015/sep/popular-chinese-ios-apps-compromised-unprecedented-malware-attack

App商店上流行的中国iOS应用遭到感染

実際のXcode Ghostの脅威分析

Xcode Ghostのソースコード

まず、上記の作者によってXcode GhostのソースコードはGitHubに公開されている。

GitHub

 

11 Users

52 Pockets

XcodeGhostSource/XcodeGhost

https://github.com/XcodeGhostSource/XcodeGhost

"XcodeGhost" Source. Contribute to XcodeGhostSource/XcodeGhost development by creating an account on GitHub.

Xcode Ghostに追加されていたもの

Paloalto Networksによれば、Xcode Ghostに追加されていたのは以下の6つのファイルのようだ。

Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/CoreService

Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/Library/PrivateFrameworks/IDEBundleInjection.framework/

Xcode.app/Contents/Developer/Platforms/iPhoneSimulator.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/CoreService

Xcode.app/Contents/Developer/Platforms/iPhoneSimulator.platform/Developer/SDKs/Library/PrivateFrameworks/IDEBundleInjection.framework/

Xcode.app/Contents/Developer/Platforms/MacOSX.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/CoreService

Xcode.app/Contents/Developer/Platforms/MacOSX.platform/Developer/SDKs/Library/PrivateFrameworks/IDEBundleInjection.framework/

via Paloalto Networks

なお、その他の具体的なコードの動きについてはやはりPaloalto Networksの分析がかなり詳しい。

Unit42

 

5 Users

268 Pockets

Novel Malware XcodeGhost Modifies Xcode, Infects Apple iOS Apps and Hits App ...

http://researchcenter.paloaltonetworks.com/2015/09/novel-malware-xcodeghost-modifies-xcode-infects-apple-ios-apps-and-hits-app-store/

Unit 42 investigated a new Apple iOS and OS X malware to identify how it spreads, the techniques it uses and its impact.

Xcode Ghostの送信先サーバ

Alien Vaultの分析

Alien Vaultの分析によると、Xcode Ghostのデータ送信先（通信先）サーバは3つあるが、そのうちの1つ、init[.]icloud-analysis[.]comはIPアドレスが引けなくなっている。

AlienVault Open Threat Exchange

 

2 Pockets

AlienVault - Open Threat Exchange

https://otx.alienvault.com/pulse/55fb63784637f26df874689c/

Learn about the latest online threats. Share and collaborate in developing threat intelligence. Protect yourself and the community against today's latest threats

Cisco OpenDNSの調査レポート

Cisco OpenDNSが、「XCodeGhost ‘Materializes’ on App Store」と題してXcodeGhostに使用されているDNS情報を分析したレポートを公開している。

Cisco Umbrella

 

17 Users

90 Pockets

Blog: Stay up to date with latest news, trends, and threats | Cisco Umbrella

https://labs.opendns.com/2015/09/21/xcodeghost-materializes/

Check out our variety of blogs with topics ranging from cybersecurity best practices to breaking news, emerging threats, malware, product releases, and more

そしてXcode Ghostに関連が疑われるドメインとIPアドレスとして以下の4つを挙げている。

• 139.162.3.167
• init[.]crash-analytics[.]com
• init[.]icloud-analysis[.]com
• init[.]icloud-diagnostics[.]com

そのうちの一つ、init[.]icloud-diagnostics[.]comのDNSアクティビティ分析によると、9月11日頃から急にDNSクエリが増えているのがわかる。Xcode Ghostに感染したアプリが動いている証拠だ。

また上のドメインの内2つで使われていたメールアドレス「778560441@qq.com」がドメイン取得アカウントとして使われていたドメインとして、以下のドメイン名が挙げられている。

• 2choubang[.]com
• 592qiche[.]com
• 91meiche[.]com
• allsdk[.]org
• bang2shou[.]com
• daimaku[.]net
• gu2chou[.]com
• ioscode[.]org
• iossdk[.]org
• iostool[.]com
• kytr[.]pub
• madou360[.]com
• qdczvv[.]com
• sdkdev[.]net
• sdkdev[.]org
• tiao2shou[.]com

Xcode Ghostの作者か間に入っているのはQQアカウント”778560441″は四川省成都出身の22歳の桃子？

Cisco OpenDNSの調査で導き出されたメールアドレス”778560441@qq.com”は中国では誰もが1つ以上は持っているといわれるチャットアプリQQのアカウントだ。このアカウント”778560441″を調べると、以下の情報がわかる。もちろん、自己申告制なので正しいとは限らないが。。もしかしたら中国では既に”人肉捜索”で本人の情報が晒されているかもしれない。

• 名前：桃子
• コメント：チベット（西蔵）に行きたい〜〜〜
• 年齢：22歳
• 誕生日：2月20日
• 場所：中国四川省成都

複雑なデータの経路と他のセキュリティ事件の関係性

上記がXcode Ghostの全てではない。Weiboの@安全威胁情报（セキュリティ脅威情報）によれば、XcodeGhostでは上記の3つのドメインが隠されているが、実は更にその奥を探ると、下図のように背後にはいくつかのネットワーク資産がコントロールされているようだ。そして最終的には4つの先にたどり着く。

また分析によると、XcodeGhostコードは完全にいつでも悪意のある動作をすることができる能力を備えていることが判明しているが、現在までにXcodeGhostが情報を集める以外の悪意のある行為のために使われたかどうかの確実な証拠はない。ただ、今回の事件全体には以下の2つの疑問点が浮かぶという。

疑問その1：XcodeGhostとKeyRaiderの関係

今年8月、PaloAlto NetworksがKeyRaiderという悪意のあるコードが、225,000個ものApple IDアカウントを盗み出したことを報告（覚えている人も多いだろう）したが、実はKeyRaiderは今回のXcodeGhostと同じicloud-analysis[.]comに情報を送っていたことがわかっている。

そこで2つの可能性が浮かび上がってくる。

1. Xcode GhostとKey Raiderは同じ作者によって制作された
2. Key Raiderの作者は2015年2月から8月の間にXcode Ghostに感染された開発環境で開発を行っていた

ちなみにコード分析の結果からは、2番目の可能性が比較的高いとみられている。

疑問点その2：Xcode GhostとPCで流行ったトロイの木馬、TrojanSpyの関係

2015年3月から9月の間、Xcode Ghostと関係のある icloud-analysis[.]com と allsdk[.]orgはどちらもIPアドレス50.63.202.48に向けて振り向けられており、セキュリティ機構は脅威情報に関する分析から、同じ時間内に70％以上のこのIPアドレスに寄生しているトロイの木馬がTrojanSpyのファミリーであったことがわかっている。

TrojanSpyはPC（Windows）に感染するトロイの木馬で、主にパスワード等の重要な情報を盗み出してリモートサーバに送るという悪意のある行動をとる。盗み出された情報には、システム設定、現在動作しているプログラム、一部の金融関係のサイトのIDとパスワード、そしてブラウザ閲覧履歴とクリック記録が含まれる。

例えば、この木馬の変種のTrojanSpy:Win32/Nivdort.YをVirusBookセキュリティ分析クラウドによって鑑定すると、70％以上のウイルス対策ソフトウェアがこれを悪意のあるプログラムだと識別するという。

いずれにせよ、上記の通り作者はXcode Ghostは既に死んだコードとしているが、そう簡単には終わりそうもない問題であるといえるだろう。

AppleはXcode GhostがApp Storeに存在していることを公式に認め、対策を進めている

ロイター社（Reuters）のメールインタビューに答える形でAppleはXcode Ghostの存在と対策中であることを認めている。詳細は当ブログ記事を参照。

xiaolongchakan.com

http://xiaolongchakan.com/?p=17491

http://xiaolongchakan.com/?p=17491

360（マルウェア対策アプリの開発会社）による感染確認したアプリの名称とバージョン

360ネットワーク攻撃・防御実験室はこのXcode Ghost感染先について分析を進めており、感染したアプリのリストを公開している。現在までにわかっているマルウェアに感染したアプリとバージョンは以下の通り。そして最新情報は360の公式サイト（中国語）まで。

※このリストに載っているバージョンではないバージョンのものは感染していない。

※ちなみに中国（大陸）の人の間では圧倒的なシェアを持ち、更に中国以外にも世界的に拡がっているチャットアプリ、ウィチャット（WeChat、微信）も対象に入っているので要注意だ（最新版は感染していないのでアップデートしておくこと）！

※その他、よく使われていると思われるアプリも赤い字体にしておいたので注意のこと。

• 微信 WeChat（6.2.5）

画蛇添足 One more thing… :中国のネット環境や、中国人の版権意識や正式版使用意識の低さがもたらした事件

これは、一部の中国人が未だにAppleに限らず様々なメーカーのオフィシャルに提供されているファイルを使わずに、第三者のサイトから落としたり、ダウンローダーを使って落とす癖がついていることを利用したマルウェアといえよう。また中国は国全体がGFW（Great FireWall、金盾）という特殊巨大ゲートウェイを使って国外と繋がっていてそこがボトルネックになっており、国外サーバからのファイルのダウンロードが遅いことも、今回の改変されたXcodeが置かれていたような中国国内サーバを利用した違法・脱法・海千山千系のダウンロードサイトがはびこる原因となっている（逆に改変されたXcodeをばらまいた犯人はそこを利用したともいえる）。

そしてWeChatを開発している上場会社のTencentのような、素晴らしい中国最先端企業でも、エンジニアがXcodeをAppleオフィシャルではないところからダウンロードして使用していることが露呈した形だ。もう1つは、Appleの審査も厳しいようで甘かったことがわかったといえるだろう。現在Appleもアプリを削除するなどの対応をしているようだが、遅きに失した形だ。もちろん大元の原因はAppleにあるわけではないのでAppleに責任があるわけではないとは思うが。

しかし中国から出た錆だとしても、中国国内だけ混乱してくれれば別に問題がないのだが、App Storeでは中国で開発されたアプリも他国のApp Storeに載る。インターネットで繋がった他国にも影響を与えるとは、非常に迷惑な話だ（まるで黄砂のようだ。。）。

また、上記の通りその後の調査で他のトロイの木馬との関連性も指摘されている。もしかしたら本当に単に一人のiOSデベロッパが引き起こした問題というような単純なものではないのかもしれない。

何はともあれ、iOSの安全神話はここにもろくも崩れ去ってしまった。脱獄していないからとか大丈夫とか、App Storeではないところからのダウンロードをしていないから大丈夫ということは全く言えなくなってしまった。すぐにXcode Ghostの検出と削除をすることを強くお勧めしたい。

記事は以上。

（記事情報元：iFanr、piyoblog、WeiPhone）

爱范儿

 

30 Pockets

关于造成 iOS 大危机的 XcodeGhost 病毒，这里有三点更新

http://www.ifanr.com/564474

昨天爆发的开发者使用第三方渠道下载的受感染的 Xcode 编译器开发应用，致使应用携带 XcodeGhost 病毒的事件已经持续发酵，除了昨天的报道之外，到现在为止，又有进一步发展

piyolog

 

97 Users

95 Pockets

XcodeGhost関連情報を集めてみた - piyolog

http://d.hatena.ne.jp/Kango/20150921/1442816430

iOSアプリに混入したとして騒がれているXcodeGhostに関連するリンクをまとめます。 XcodeGhostとは何か 9月17日に中国のiOS開発者が発見したiOSアプリに混入するマルウェア。外部のサーバーへ情報送信を送信する機能が確認されている。 Appleのアプリストアで配信されている正規のアプリ(主に中国語圏のアプリ)がXcodeGhostの影響を受けることが確認されており、通常利用しているアプリがこの対象となる場合、利用者の情報が外部のサーバーへ送信される可能性がある。 解析記事 Xcode Ghostの解析記事は次の通り。 XCode编译器里有鬼 –...

www.feng.com

 

7 Pockets

http://www.feng.com/Story/A-threat-to-hundreds-of-millions-of-XcodeGhost-what...

http://www.feng.com/Story/A-threat-to-hundreds-of-millions-of-XcodeGhost-what-ghost_625317.shtml