百度安全：XcodeGhost大爆发可能只是冰山一角

从苹果社区论坛下载了个Xcode编译工具，却不小心让自己辛辛苦苦编写的App中了毒?最近几天，这个消息已经在朋友圈、新浪微博和各个新闻媒体刷屏了好几轮。

这也许是迄今为止，所有苹果应用开发者共同抵御黑客攻击的一次最大规模战役。在中标的名单中，更多的应用以天，甚至以小时的速度在不断被刷新。

[[149849]]

而很多云端存储工具、下载工具“躺枪”，被用来传播Xcode-Ghost的工具。

百度云的应急响应

9月18日，来自Palo Alto Networks和Apple Security Team的关于XcodeGhost的信息，立刻引起了百度的重视，信息提及黑客利用网盘存储恶意工具，在很多非官方苹果社区论坛传播。

接到信息后，百度立即启动了最高安全紧急响应流程，清查并关闭云盘上所有感染文件共享，并与友商密切合作，交换威胁情报，追溯传染源。据了解，现在网盘的受感染文件都已经被清理。

下载工具也是传播途径

几天前，有网友吐槽用官方URL下载到了含恶意代码的Xcode。可能大多数人并没有注意到这条消息， 百度安全实验室X-TEAM负责人王宇十分敏感，第一反应是下载工具的离线资源可能被污染了，并且很快就验证的确存在这种可能性。通过排查，国内的多个知名下载工具都“躺枪”了。

“现在可以判断，污染下载渠道这种攻击方式的强大和影响程度，要远远超过Xcode被替换事件本身。因为到底有多少官方下载链接资源被污染?外界很难统计清楚。现在我们掌握的情况，只是冰山一角。”王宇得出这个细思恐极的结论。

0day防护计划帮应用“灭火”

在百度安全实验室通报了这一发现之后，百度云安全立即启动了0day防护计划，与迅雷等受影响的应用取得联系，向对方提供相关漏洞信息。百度云安全方面表示，相关的漏洞细节需要等迅雷等厂商修复之后才会公布。

据了解，由于此次黑客攻击的是用户的客户端App ，百度云安全通过0day防护计划，以最快的速度了解了事件的来龙去脉，以及受影响的用户范围，已经跟多家厂商取得联系，以期尽快解除用户的安全威胁。

百度云安全总经理马杰表示，百度云加速3.0、百度安全宝的用户已经自动被纳入到0day防护计划的保护中。“我们也非常欢迎更多合作伙伴、企业加入这个计划中，与我们一起共同应对未知威胁，保护用户的安全。”

工具警惕被人“当枪使”

百度安全提示，关于此次事件的严重性，我们不应该仅仅是关注事件本身，更应该深层次思考事件背后透露的信息：

首先，网盘、迅雷等都是深受用户喜爱的网络工具，拥有亿级以上的用户。而同类型的产品在网上还有很多。此次事件非常典型，说明对于上传文件和下载内容，服务提供商应该在尊重用户隐私的基础上， 提高安全检测的门槛，防止被黑客“当枪使”。

其次，种种迹象表明，这次事件显然是经过了详细周密的策划，并非黑客在澄清微博中说的“仅为测试”：第一，黑客注册了没有泄漏任何关键信息的域名;第二，据悉，此团队在Amazon上租用了AWS云主机，每月花费高昂的费用(有逃避国内追查的嫌疑);第三，黑客在澄清微博中刻意隐瞒了三个重要信息，包括用钓鱼提示框骗取用户输入用户名和密码，劫持官方URL并且在代码中植入广告后门，以及记录用户在剪切板上的用户名和密码等关键信息。

第三，我们更应该关注，污染包括下载工具、运营商下载通道等在内的下载途径，已经成为地下黑色产业链牟利的重要方法，这可以大大增加恶意软件的影响范围。在普通用户吐槽网盘、迅雷的时候， 可能并不明白其实他们也是这次事件的受害者。因此，相关企业应该彻查安全隐患，排除脆弱点，对自身的安全体系和安全管理进行完善。