网康慧眼云发现企业网络中的XcodeGhost失陷手机

9月14日,国家互联网应急中心CNCERT发布预警通告,目前最流行的苹果应用程序编译器XCODE被植入了恶意代码(XcodeGhost)。开发者使用非苹果公司官方渠道的XCODE工具开发苹果APP时,就有可能向该APP中植入恶意代码。由于XCODE的广泛应用,预计将会有超过一亿部iOS移动终端受到影响。

XcodeGhost是如何控制上亿部iOS设备的
用户在iOS设备上安装了被感染的APP后,设备在接入互联网时APP会回连恶意URL地址init.icloud-analysis.com,并向该URL上传敏感信息(如设备型号、iOS 版本):

图片2

回连的C&C服务器会根据获取到的设备信息下发控制指令,从而完全控制设备,可以在受控设备上执行打开网页、发送短信、拨打电话、打开设备上所安装的其他APP等操作。由于苹果应用商店是个相对封闭的生态系统,用户一般都会充分信任从应用商店下载的APP,因此此次事件的影响面和危害程度前所未有,有可能是苹果有史以来所面临的最严重的安全危机。

 

XcodeGhost失陷手机检测过程回放
慧眼云可以识别企业WiFi网络中所有接入的移动终端设备并记录其网络连接行为。通过与该恶意URL相关的威胁情报,就可以检测出已经被感染的移动终端设备,并基于网康的用户和应用识别能力,进一步确定被感染用户及其所使用的APP。

Step 1 通过威胁情报和异常行为分析,发现失陷的手机

图片3

Step 2 检测该手机的威胁活动

图片4

Step 3 威胁活动详情,可以看到大量到init.icloud-analysis.com的连接

图片5

Step 4 确定失陷终端后,基于用户和应用识别,准确锁定用户和被感染的APP

图片6

小结:与大多数安全厂商从分析被感染的APP入手不同,网康独辟蹊径,利用慧眼云的威胁情报生成能力,以被感染APP所产生的恶意流量为线索检测失陷手机,并借助网康在应用识别(尤其是移动应用识别)方面的技术优势精准锁定失陷手机中产生恶意流量的APP。事实再次证明,无论恶意行为如何隐藏,终究会留下蛛丝马迹。也许终端无法检测,但通过云和大数据技术对异常行为做深度关联分析,隐秘的地下行为终究无可遁形。

上一篇:HMDI连接线不匹配 超高清电视变全高清

下一篇:Fortinet:企业如何面对APT攻击的“常态化”?