XcodeGhost, malware infiltré pour iOS

[EnZ0]

<r><ALIGN align="center"><s>

</s><IMG src="http://www.idevgames.com/dynamic_images/assets/50osSWFfJZjnkBoBfGbP/xcode_simulator_instruments_UOGfYT_431x217_431x217_XDIS.png"><s>[img]</s><URL url="http://www.idevgames.com/dynamic_images/assets/50osSWFfJZjnkBoBfGbP/xcode_simulator_instruments_UOGfYT_431x217_431x217_XDIS.png"><LINK_TEXT text="http://www.idevgames.com/dynamic_images ... 7_XDIS.png">http://www.idevgames.com/dynamic_images/assets/50osSWFfJZjnkBoBfGbP/xcode_simulator_instruments_UOGfYT_431x217_431x217_XDIS.png</LINK_TEXT></URL><e>[/img]</e></IMG><e>

</e></ALIGN>
<ALIGN align="justify"><s>

</s><B><s></s><COLOR color="#800000"><s></s>Une version contrefaite de l’environnement de développement Xcode d’Apple a permis la compilation d’applications contenant un cheval de Troie. La situation s’est surtout produite en Chine et Apple a depuis fait le ménage. Le cas rappelle cependant qu’aucune plateforme n’est à l’abri d’un souci de sécurité.<e></e></COLOR><e></e></B><br/>
<br/>
Les différentes boutiques servent de portail pour récupérer des applications depuis les appareils mobiles. Parmi leurs prérogatives, il faut noter que des processus de sécurité doivent empêcher les utilisateurs de récupérer des versions vérolées ou plus globalement des créations dont le seul objectif est de dérober des données personnelles ou conduire à des arnaques. Voilà pourquoi il est souvent conseillé aux utilisateurs d’Android de faire attention quand ils téléchargent depuis des boutiques tierces, une opération permise sur cette plateforme (après modification des paramètres).<br/>
<br/>
<B><s></s><SIZE size="150"><s></s><COLOR color="#800000"><s></s>Un Xcode contenant un compilateur malveillant<e></e></COLOR><e></e></SIZE><e></e></B><br/>
<br/>
Cela n’empêche pas pour autant des systèmes plus stricts d’être eux aussi victimes de soucis de sécurité. On a pu le voir ces derniers jours avec XcodeGhost, nom donné à un cheval de Troie retrouvé dans certaines applications iOS. Mais comment une telle menace a-t-elle pu passer les sas de validation d’Apple vers l’App Store ? Parce que les applications vérolées avaient tous les airs de projets authentiques.<br/>
<br/>
Ces applications ont en fait été compilées à l’aide d’une version non authentique de Xcode, l’environnement de développement proposé par Apple pour les projets ciblant toutes ses plateformes. Comment les développeurs ont récupéré initialement cette version contaminée, le mystère demeure, mais la société de sécurité Palo Alto Network a pu en mesurer les résultats, puisque 39 applications sont ainsi passées à la moulinette d’un compilateur malveillant, injectant un cheval de Troie au passage.<br/>
<br/>
<B><s></s><SIZE size="150"><s></s><COLOR color="#800000"><s></s>Apple a fait le ménage<e></e></COLOR><e></e></SIZE><e></e></B><br/>
<br/>
Présentées pour validation à l’App Store, ces applications se sont bien retrouvées pendant quelques jours sur la boutique d’application. Apple a officiellement reconnu le problème dans une réponse donnée à Reuters, via la porte-parole Christine Monaghan : "<I><s></s><COLOR color="#800000"><s></s>Nous avons supprimé les applications de l’App Store dont nous savons qu’elles ont été développées avec le logiciel contrefait. Nous travaillons avec les développeurs pour nous assurer qu’ils utilisent la version normale de Xcode afin qu’ils revoient leurs applications<e></e></COLOR><e></e></I>".<br/>
<br/>
Parmi ces applications, on retrouve le client de messagerie WeChat, dont l’éditeur a réagi pour indiquer que la version sortie il y a deux jours était débarrassée du problème. Le scanner de cartes CamCard était également touché par le souci, mais a depuis rectifié le tir. Pour les autres, elles ont de toute façon été supprimées de l’App Store. Elles avaient toutes le potentiel de voler des informations tels que l’identifiant du téléphone et certaines informations plus générales, pour les envoyer vers un serveur. Selon Palo Alto Network cependant, il semble qu’il n’y ait pas eu de transmissions.<br/>
<br/>
La société estime que ce type de menace est particulièrement sérieux. Concernant le téléchargement initial du Xcode frelaté, elle avance l’hypothèse que des développeurs ont cherché à récupérer plus rapidement l’environnement, sans passer par des serveurs d’Apple peut-être jugés trop lents. On imagine que l’aventure leur aura ôté le goût des chemins alternatifs.<e>

</e></ALIGN></r>

[EnZ0]

<r><ALIGN align="justify"><s>

</s><B><s></s><COLOR color="#800000"><s></s><SIZE size="150"><s></s>La contamination serait plus grande que prévue<e></e></SIZE><e></e></COLOR><e></e></B><br/>
<br/>
<IMAGE content="http://www.xabaras.it/news_img/xcode_ghost.png" image="left"><s>[image=left]</s>http://www.xabaras.it/news_img/xcode_ghost.png<e>[/image]</e></IMAGE>La situation est déjà rentrée dans l’ordre, mais des éléments récents montrent que l’épidémie était en fait plus large que prévue. Plusieurs sociétés sont depuis entrées dans la danse avec leurs propres informations. Ainsi, des 39 applications dont parlait initialement Palo Alto Network, on passe à 476 chez Appthority, et même à plus de 4 000 chez FireEye. Le ménage réalisé serait donc beaucoup plus important que ce qui avait été annoncé, et l’infection aurait même débuté au printemps.<br/>
<br/>
Les dégâts semblent cependant très limités. XcodeGhost n’avait en effet pas une grande capacité de nuisance. Les informations potentiellement volées incluaient le numéro de téléphone, l’identifiant unique de l’appareil et quelques données assez générales comme la langue et le pays. Pas d'autres données personnelles, messages, contacts, emails, photos, vidéos, identifiants et autres donc.<br/>
<br/>
<B><s></s><COLOR color="#800000"><s></s><SIZE size="150"><s></s>Apple installera des serveurs de téléchargement en Chine<e></e></SIZE><e></e></COLOR><e></e></B><br/>
<br/>
En fait, la question centrale est de savoir pourquoi les développeurs se sont initialement tournés vers cette version de Xcode. Il s’agit visiblement d’une question de performances. Les développeurs interrogés par Reuters pointent en effet un manque crucial de support en Chine de la part d’Apple, alors même qu’il s’agit de son deuxième plus gros marché après les États-Unis.<br/>
<br/>
Il n’est donc pas étonnant de voir que Phil Schiller, le directeur du marketing, a confirmé l’arrivée de téléchargements locaux en Chine au site chinois Sina.com. Des serveurs seront ainsi mis en place et configurés pour que les développeurs disposent de meilleures vitesses. Actuellement, les développeurs chinois n’ont en effet pas le choix : ils doivent se connecter aux serveurs américains. On comprend mieux dès lors que quelques dizaines d’entre eux aient succombé aux sirènes de sites qui promettaient des téléchargements rapides.<br/>
<br/>
<COLOR color="#800000"><s></s><B><s></s><SIZE size="150"><s></s>Les développeurs invités à se tourner vers les sources authentiques<e></e></SIZE><e></e></B><e></e></COLOR><br/>
<br/>
Parallèlement, Apple tâche de mieux communiquer autour de ce problème particulièrement. Une page spécifique est apparue sur le site consacré aux développeurs, et des emails leur ont également été envoyés. Le message global est simple : "<I><s></s><COLOR color="#800000"><s></s>Nous avons récemment retiré de l’App Store des applications qui avaient été compilées avec une version contrefaite de Xcode, qui avait le potentiel de nuire aux utilisateurs. Vous devriez toujours télécharger Xcode depuis le Mac App Store, ou depuis le site Apple Developer, et laisser GateKeeper actif sur tous vos systèmes pour vous protéger des logiciels trafiqués<e></e></COLOR><e></e></I>".<br/>
<br/>
Signalons que GateKeeper n’est pas à proprement parler un antivirus. Il est chargé de vérifier la signature d’un logiciel que l’on exécute pour la première fois. Par défaut, il n’autorise l’exécution que des logiciels installés depuis le Mac App Store et ceux disposant d’une signature authentique et reconnue. Les produits récupérés depuis les sites officiels et dont les éditeurs ont eu les moyens d’acheter un certificat reconnu n’ont donc pas de problèmes. Dans le cas présent, la vérification de signature aurait donc dû informer le développeur que cette version Xcode n’était pas authentique. Apple donne d’ailleurs certaines lignes de commande pour lancer une vérification manuelle de Xcode si cela n’a pas déjà été fait.<br/>
<br/>
On comprend en tout cas la double inquiétude des utilisateurs et d’Apple. Il ne suffit parfois que d’un rien pour mener à une situation de ce genre, les problèmes de sécurité étant le plus souvent imputables à une maladresse humaine ou à un manque de sérieux. Cisco a par exemple communiqué récemment sur un souci de malware infectant certains modèles de routeurs, une contamination rendue uniquement possible par un "<I><s></s><COLOR color="#800000"><s></s>oubli<e></e></COLOR><e></e></I>" : remplacer les identifiants par défaut par de nouveaux, personnalisés et construits selon des règles strictes.<e>

</e></ALIGN></r>

[typhoon]

<r><GLOW glow="red"><s>[glow=red]</s><B><s></s>Un petite liste des app infecté par XcodeGhost !<e></e></B><e>[/glow]</e></GLOW><br/>
<br/>
<br/>
Crazy Fishing Saga, Crazy Fish 2, Pop owls, Candy Crazy Fish<br/>
Sea Diamond, Fishing Ares, Pet Forest-crazy, Multi Attach Mail<br/>
CamCard Business, CamScanner Free, CamScanner +, CamScanner Pro<br/>
WeChat, WinZip, OPlayer HD Lite, LifeSmart, 10000+ Wallpapers<br/>
Magic Likes Liker for Istagram, Maya Mysterious, Device Tracker for iPhone iPad<br/>
Free Calls Text, Beauty Salon Monster Girls Makeover, Crazy Bubble OL, MyChevy<br/>
MyChevy, Excavator Stunt 2015, Parking 3D, Little Miss Party Girls, Foscam, Celebrity Fashion Stylist Salon<br/>
<br/>
Mercury, WinZip, Musical.ly, PDFReader, guaji_gangtai<br/>
Perfect365, PDF Reader Free, WhiteTile, IHexin<br/>
Winzip Satndard, More Likers 2, Mobile Ticket,<br/>
iVMS-4500, QYER, golfsense, installer, golfsensehd<br/>
Wallpapers10000, CSMBP-AppStore, MSL108, ChinaUnicom3.x<br/>
TinyDeal.com, Snapgrab Copy, iOBD2, PocketScanner, CuteCUT<br/>
AmHexinForPad, SuperJewelsQuest2, air2, InstaFollower, baba<br/>
WeLoop, DataMonitor, MSL070, Nice dev, immtdchs, FlappyCircle<br/>
BiaoQingBao, SaveSnap, Guitar Master, jin, Winzip Sector, Quick Save</r>