網康慧眼云發現企業網絡中的XcodeGhost失陷手機
責編：mhshi ｜2015-09-21 16:12:339月14日，國家互聯網應急中心CNCERT發布預警通告，目前最流行的蘋果應用程序編譯器XCODE被植入了惡意代碼（XcodeGhost）。開發者使用非蘋果公司官方渠道的XCODE工具開發蘋果APP時，就有可能向該APP中植入惡意代碼。由于XCODE的廣泛應用，預計將會有超過一億部iOS移動終端受到影響。
XcodeGhost是如何控制上億部iOS設備的
用戶在iOS設備上安裝了被感染的APP后，設備在接入互聯網時APP會回連惡意URL地址init.icloud-analysis.com，并向該URL上傳敏感信息（如設備型號、iOS?版本）：
回連的C&C服務器會根據獲取到的設備信息下發控制指令，從而完全控制設備，可以在受控設備上執行打開網頁、發送短信、撥打電話、打開設備上所安裝的其他APP等操作。由于蘋果應用商店是個相對封閉的生態系統，用戶一般都會充分信任從應用商店下載的APP，因此此次事件的影響面和危害程度前所未有，有可能是蘋果有史以來所面臨的最嚴重的安全危機。
XcodeGhost失陷手機檢測過程回放
慧眼云可以識別企業WiFi網絡中所有接入的移動終端設備并記錄其網絡連接行為。通過與該惡意URL相關的威脅情報，就可以檢測出已經被感染的移動終端設備，并基于網康的用戶和應用識別能力，進一步確定被感染用戶及其所使用的APP。
Step?1?通過威脅情報和異常行為分析，發現失陷的手機
Step?2?檢測該手機的威脅活動
Step?3?威脅活動詳情，可以看到大量到init.icloud-analysis.com的連接
Step?4?確定失陷終端后，基于用戶和應用識別，準確鎖定用戶和被感染的APP
小結：與大多數安全廠商從分析被感染的APP入手不同，網康獨辟蹊徑，利用慧眼云的威脅情報生成能力，以被感染APP所產生的惡意流量為線索檢測失陷手機，并借助網康在應用識別（尤其是移動應用識別）方面的技術優勢精準鎖定失陷手機中產生惡意流量的APP。事實再次證明，無論惡意行為如何隱藏，終究會留下蛛絲馬跡。也許終端無法檢測，但通過云和大數據技術對異常行為做深度關聯分析，隱秘的地下行為終究無可遁形。