蘋(píng)果應(yīng)用商店遭病毒入侵 網(wǎng)絡(luò)安全之殤仍待解
發(fā)布時(shí)間：2015-10-09這邊廂蘋(píng)果iPhone 6S賣(mài)得熱火朝天，那邊廂APP Store遭遇了自上線(xiàn)以來(lái)堪稱(chēng)最大規(guī)模的攻擊。據(jù)《北京日?qǐng)?bào)》近日?qǐng)?bào)道，此次蘋(píng)果上百款A(yù)PP感染了XcodeGhost木馬，包括微信、百度音樂(lè)、網(wǎng)易云音樂(lè)、滴滴出行等知名APP均被滲透。
目前，蘋(píng)果已經(jīng)將受感染的APP下架，也關(guān)閉了木馬制造者用于接收竊取信息的服務(wù)器。值得一提的是，蘋(píng)果強(qiáng)調(diào)此次事件未造成用戶(hù)的信息泄露，但仍難無(wú)法改變用戶(hù)對(duì)于手機(jī)信息安全的擔(dān)憂(yōu)。此番蘋(píng)果事件給用戶(hù)一個(gè)深刻的領(lǐng)悟，在APP上線(xiàn)之前，除了開(kāi)發(fā)及編譯工具應(yīng)該是需要重兵把守城門(mén)之外，還需要國(guó)產(chǎn)操作系統(tǒng)的繼續(xù)努力。當(dāng)然，對(duì)于用戶(hù)來(lái)說(shuō)，及時(shí)衡量網(wǎng)絡(luò)行為，提高網(wǎng)絡(luò)安全意識(shí)，才能減少類(lèi)似事件的發(fā)生。
蘋(píng)果APP Store被植入惡意程序
隨著智能手機(jī)的逐漸普及，手機(jī)木馬病毒也開(kāi)始蠢蠢欲動(dòng)紛紛瞄準(zhǔn)人們?cè)絹?lái)越離不開(kāi)的智能手機(jī)。除了安卓手機(jī)經(jīng)常被曝出中病木馬毒外，近日蘋(píng)果的APP Store也難逃一劫。
近日，CNCERT發(fā)布了一篇《關(guān)于使用非蘋(píng)果官方XCODE存在植入惡意代碼情況的預(yù)警通報(bào)》，聲稱(chēng)開(kāi)發(fā)者使用非蘋(píng)果公司官方渠道的XCODE工具開(kāi)發(fā)蘋(píng)果應(yīng)用程序(蘋(píng)果APP)時(shí)，會(huì)向正常的蘋(píng)果APP中植入惡意代碼。
這也意味著，從第三方源下載的Xcode(蘋(píng)果平臺(tái)IDE)被植入惡意代碼，使用受感染的Xcode編譯、生成的應(yīng)用中會(huì)被植入后門(mén)，包括：iOS，iPhone模擬器，Mac OS X。而被植入惡意代碼的iOS應(yīng)用會(huì)向服務(wù)器上傳信息，具體信息包括：時(shí)間、應(yīng)用名字、應(yīng)用標(biāo)識(shí)ID、設(shè)備名字與類(lèi)型、系統(tǒng)區(qū)域及語(yǔ)言、設(shè)備唯一標(biāo)識(shí)UUID、網(wǎng)絡(luò)類(lèi)型。當(dāng)用戶(hù)上傳至AppStore并被用戶(hù)下載安裝，就會(huì)偷偷上傳軟件包名、應(yīng)用名、系統(tǒng)版本、語(yǔ)言、國(guó)家等基本信息。
針對(duì)蘋(píng)果應(yīng)用商店被曝有部分應(yīng)用程序感染了惡意代碼，美國(guó)蘋(píng)果公司也證實(shí)，其官方開(kāi)發(fā)工具軟件Xcode遭到黑客攻擊和修改，致使用其開(kāi)發(fā)的很多應(yīng)用程序也被感染。不過(guò)，蘋(píng)果還表示其已從應(yīng)用商店刪除了這些被植入惡意代碼的應(yīng)用。
據(jù)360NirvanTeam提供的最新數(shù)據(jù)顯示，共發(fā)現(xiàn)1077款A(yù)PP感染XcodeGhost木馬，其中不乏百度音樂(lè)、微信、滴滴、12306、名片全能王、憤怒的小鳥(niǎo)2等用戶(hù)量極大的APP，涉及互聯(lián)網(wǎng)、金融、鐵路航空、游戲等領(lǐng)域。
用戶(hù)信息安全堪憂(yōu)
蘋(píng)果XcodeGhost惡意程序事件不禁令人想起去年同期，由于iCloud漏洞引起的多位好萊塢明星私照被曝光的事件。諸多果粉心生疑慮，蘋(píng)果產(chǎn)品標(biāo)榜的“安全”性能難道不復(fù)存在了嗎？
人民網(wǎng)此前報(bào)道，蘋(píng)果公司于2014年7月承認(rèn)，可以通過(guò)一項(xiàng)未公開(kāi)的技術(shù)獲取iPhone用戶(hù)的短信、通訊錄和照片等個(gè)人數(shù)據(jù)，但否認(rèn)為情報(bào)部門(mén)服務(wù)。事實(shí)上，在去年iCloud 事件發(fā)生后，多國(guó)“禁令”使用蘋(píng)果產(chǎn)品，譬如俄羅斯甚至立法規(guī)定從2015年1月起禁止使用蘋(píng)果公司產(chǎn)品。雖然蘋(píng)果表示此次應(yīng)用商店事件未對(duì)用戶(hù)信息造成損害，但用戶(hù)使用了被植入XcodeGhost惡意代碼的APP后，APP會(huì)自動(dòng)向病毒制造者的服務(wù)器上傳諸如手機(jī)型號(hào)、系統(tǒng)版本、應(yīng)用名稱(chēng)、應(yīng)用使用時(shí)間、系統(tǒng)語(yǔ)言等隱私信息。因此，用戶(hù)對(duì)信息安全的隱憂(yōu)仍無(wú)法消除。
微博網(wǎng)友“唐巧_boy”稱(chēng)：“XcodeGhost這件事情，蘋(píng)果自己也有責(zé)任，Mac App Store下載速度慢得要死，每次下Xcode花個(gè)幾十分鐘非常正常，這才造成大家都用迅雷和百度網(wǎng)盤(pán)這種非官方渠道。就說(shuō)現(xiàn)在吧，我的Mac系統(tǒng)更新了一上午，還是處于卡頓無(wú)進(jìn)度狀態(tài)?！贝送?， 安言咨詢(xún)總經(jīng)理張耀疆認(rèn)為，“蘋(píng)果商店的事件反映了一種潛在風(fēng)險(xiǎn)，即在用戶(hù)甚至開(kāi)發(fā)商不知曉的情況下，也有泄露所有個(gè)人信息的可能性。即使這次解決了，開(kāi)發(fā)者也很難保證下次不出現(xiàn)類(lèi)似問(wèn)題，因?yàn)檫@不是一家能解決的問(wèn)題，而是整個(gè)移動(dòng)開(kāi)發(fā)鏈條上的問(wèn)題?！?/span>
信息安全需未雨綢繆
移動(dòng)互聯(lián)網(wǎng)的快速發(fā)展，雖然便捷了人與人之間的距離，但信息安全也一躍成為了議論焦點(diǎn)。蘋(píng)果XcodeGhost木馬事件背后，用戶(hù)的信息安全隱憂(yōu)值得深思，如何正確地利用好互聯(lián)網(wǎng)，是當(dāng)前急需解決的問(wèn)題。
第一，不論是蘋(píng)果系統(tǒng)的安全隱患還是安卓手機(jī)木馬病毒，對(duì)于保障國(guó)人的信息安全所需要的是自己開(kāi)發(fā)出優(yōu)秀的國(guó)產(chǎn)手機(jī)操作系統(tǒng)。此前Windows10操作系統(tǒng)也被指出存在安全漏洞，騰訊電腦管家和360甚至相繼發(fā)布公告，暫緩Windows10升級(jí)助手服務(wù)。如果不使用我國(guó)自主研發(fā)的操作系統(tǒng)，系統(tǒng)的后門(mén)鑰匙始終掌握在別人手里，那么我國(guó)的信息安全保障就如同失去了屏障。
第二，應(yīng)用開(kāi)發(fā)者要有足夠的安全意識(shí)，堅(jiān)守第一道防線(xiàn)。開(kāi)發(fā)者應(yīng)當(dāng)從源頭予以保證，包括代碼來(lái)源的安全干凈及使用正版蘋(píng)果系統(tǒng)。
第三，有關(guān)部門(mén)應(yīng)建立必要的安全管理機(jī)制。近日，中國(guó)互聯(lián)網(wǎng)協(xié)會(huì)發(fā)布的《中國(guó)網(wǎng)民權(quán)益保護(hù)調(diào)查報(bào)告2015》顯示，我國(guó)有78.2%的網(wǎng)民個(gè)人身份信息被泄露。這就要求有關(guān)部門(mén)對(duì)網(wǎng)絡(luò)安全管理機(jī)制的建立和把控放在一定的高度上才是良策。當(dāng)然，維護(hù)網(wǎng)絡(luò)安全，僅靠相關(guān)部門(mén)的力量遠(yuǎn)遠(yuǎn)不夠，還需企業(yè)與個(gè)人的多方努力，自律與他律多措并舉。
