【IT168 资讯】9月14日，国家互联网应急中心CNCERT发布预警通告，目前较流行的苹果应用程序编译器XCODE被植入了恶意代码(XcodeGhost)。开发者使用非苹果公司官方渠道的XCODE工具开发苹果APP时，就有可能向该APP中植入恶意代码。由于XCODE的广泛应用，预计将会有超过一亿部iOS移动终端受到影响。

　　XcodeGhost是如何控制上亿部iOS设备的

　　用户在iOS设备上安装了被感染的APP后，设备在接入互联网时APP会回连恶意URL地址init.icloud-analysis.com，并向该URL上传敏感信息(如设备型号、iOS 版本)：

　　回连的C&C服务器会根据获取到的设备信息下发控制指令，从而完全控制设备，可以在受控设备上执行打开网页、发送短信、拨打电话、打开设备上所安装的其他APP等操作。由于苹果应用商店是个相对封闭的生态系统，用户一般都会充分信任从应用商店下载的APP，因此此次事件的影响面和危害程度前所未有，有可能是苹果有史以来所面临的较严重的安全危机。

　　XcodeGhost失陷手机检测过程回放

　　慧眼云可以识别企业WiFi网络中所有接入的移动终端设备并记录其网络连接行为。通过与该恶意URL相关的威胁情报，就可以检测出已经被感染的移动终端设备，并基于网康的用户和应用识别能力，进一步确定被感染用户及其所使用的APP。

　　Step 1 通过威胁情报和异常行为分析，发现失陷的手机

　　Step 2 检测该手机的威胁活动

　　Step 3 威胁活动详情，可以看到大量到init.icloud-analysis.com的连接

　　Step 4 确定失陷终端后，基于用户和应用识别，准确锁定用户和被感染的APP

　　小结：与大多数安全厂商从分析被感染的APP入手不同，网康独辟蹊径，利用慧眼云的威胁情报生成能力，以被感染APP所产生的恶意流量为线索检测失陷手机，并借助网康在应用识别(尤其是移动应用识别)方面的技术优势精准锁定失陷手机中产生恶意流量的APP。事实再次证明，无论恶意行为如何隐藏，终究会留下蛛丝马迹。也许终端无法检测，但通过云和大数据技术对异常行为做深度关联分析，隐秘的地下行为终究无可遁形。