Re: [問題] 請問裝到xcode感染的app問題

[denkeni (Denken)]

※ 引述《Jetis (傑)》之銘言：
: 看到最近有xcode偵測到有很多大陸感染木馬的app
: 其中有裝到網易雲音樂
: 剛把他刪除了
: 竟然連微信都有
: 是想問有裝到會不會有什麼影響
: 之前只開過一次
: 對於xcode這還很陌生
: 剛爬文看到寫是開發蘋果的軟體
: 看來好像大陸軟體還是少裝為妙囉
: 感恩
: http://mrmad.pixnet.net/blog/post/204018772

這件事其實還滿嚴重的，也對 App Store 信任度投下一枚信號彈

問題在於：
你是否能相信 App Store 上的 App，就是原作者所經手開發的應用程式
沒有被別人竄改加味過？

一般而言我們都相信是的
因為 App Store 是官方而且唯一的 App 下載管道
蘋果會對開發者以及其程式碼作相對應的驗證

今天這事就是告訴你，未必是
蘋果的機制當然還是相對安全的
但現實終究都是場貓捉老鼠的無止盡戰役

傻傻的開發者用了被竄改加味過的 Xcode，而且蘋果審查也沒抓出來；
傻傻的使用者沒更新 iOS，而被已知漏洞攻擊；

惡意的開發者寫出釣魚詐騙的 App；
不知情的使用者以為蘋果很 nice 的，惡意 App 一定過不了審查；

歡迎來到現實世界啊
只能說總是要提高警覺
就像賈伯斯當年在 App Store 發表會後的 Q&A 說：
"It is a dangerous world out there."

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.242.180.194
※ 文章網址: https://www.ptt.cc/bbs/iPhone/M.1442650750.A.991.html
推 bhis: 上了appstore的東西也有毒
推 abc21086999: 蘋果不意外
→ Esvent: 因為它是夾帶在一般的合法App之內 所以權限基本上就跟一般
→ Esvent: App沒有兩樣 頂多蒐集一些硬體資訊 如果該App有開定位
→ Esvent: 之類的 那就可以拿到位置之類的額外資訊
簡單來說是，但總是有些怪招
https://twitter.com/luosheng/status/644774253175271424

→ eggimage: 幹嘛去裝對岸的軟體 ??
→ riap0526: Engadget 說只要裡面輸入過的個人資訊都可能外漏
推 ctotw: 我的小米盒子全部都是耶... 怎麼辦0.0
噓 Botti: 純噓瘋先生
噓 www10177: 噓瘋先生+1
推 ueilan: 換信用卡，跟身份字號
→ zxc887621: 開發者從非官方管道抓IDE，就變成蘋果官方的問題？
→ greatroy: 蠻質疑這消息，上app store前，apple的檢查機制應會偵
→ greatroy: 測出異常才是，所以就算使用被動過手腳的xcode，基本上
→ greatroy: 應該是過不了關的。
→ greatroy: 否則app store早就和play store一樣了吧...
不用質疑了，蘋果內部這幾天鐵定很忙的

推 s1s1: appstore以前也有沒有查到的惡意app啊，審核本來就不
→ s1s1: 一定可以抓到，只是難易程度差別而已
→ matrox323: 那是後門不算毒吧
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.62.95.111
※ 文章網址: https://www.ptt.cc/bbs/iPhone/M.1442685300.A.506.html
※ 編輯: denkeni (61.62.95.111), 09/20/2015 01:59:03
推 Debian: 相信我，本板沒有資安觀念的人大概佔九成，他們會認為沒有
→ Debian: 影響，反正哪天不要被公開apple id帳密再來哭餓就好。
噓 liar5566: 純噓瘋先生
→ KevinMai: 用WinZip也中獎覺得賭爛，再也不用它了
→ alunz: 開發者用非官方app store下載來的xcode開發出有木馬的app,
→ alunz: 然後怪apple漏洞？這什麼神邏輯?
開發者當然問題最大，不過蘋果應該會默默扛下部分責任

主要還是因為 App Store 是蘋果高度管制的軟體散佈管道
今天我寫好一個 App 想免費送大家用，不行請繳年費
而且還有可能因為功能太前衛，或就只是被蘋果賭爛，而不給上架
這裡面也是很多黑歷史的，不要覺得蘋果只是為消費者好

但相對地，也因為蘋果是以守護消費者體驗自居，才行 App Store 之道
所以這次蘋果內部一定也會做些相對應的措施
否則蘋果就不是蘋果了

推 dalconan: 這代表如果有辦法對XCODE下手～就可以上傳有木馬的APP
→ dalconan: 當然怪APPLE漏洞呀
→ dalconan: 大部分使用者的想法是～APPLE有審核～所以有木馬的APP上
→ dalconan: 不了app srote
※ 編輯: denkeni (61.64.174.6), 09/20/2015 10:10:55
推 bhis: 開發者有責任，蘋果當然也有責任啊，這是一種分工
推 s1s1: GFW的問題蘋果應該認真去解決一下，抓個開發工具還要翻牆
→ s1s1: 要是我跑去對岸當dev我也會覺得很煩
→ gdtg10900: 會寫這麼專業APP的人會是誤用嗎我很懷疑
→ gdtg10900: 我看是大陸官方故意的百度只是卸責好方式
→ alunz: 中國沒有被GFW阻擋的哪一個不是官股？別說開發者不知情惹，
→ alunz: 他們是一整串葡萄的共犯啦