App Store bevatte tientallen geïnfecteerde apps door Xcode-malware

[master-magic]

Na gebruik van een kwaadaardige Xcode-versie hebben ontwikkelaars besmette apps in Apples App Store geplaatst die systeemgegevens stelen. De aanval trof potentieel miljoenen Chinese gebruikers, maar ook apps die buiten China gebruikt worden, waren besmet.
Beveiligingsbedrijf Palo Alto Networks plaatste afgelopen week een analyse van XcodeGhost op zijn website, nadat Chinese deskundigen vorige week waarschuwden voor de malware. Apple heeft de aanval bevestigd en tegen Reuters verklaard de besmette apps verwijderd te hebben uit de App Store en met ontwikkelaars samen te werken om te zorgen dat ze de correcte Xcode-versie gebruiken.
Aanvallers wisten de kwaadaardige XcodeGhost-malware te verspreiden via een aangepaste versie van de Xcode-ide, die te downloaden was via de downloaddienst van Baidu. Aan die versie, die verscheen met versienummers van 6.1 tot 6.4, was een CoreServices-component toegevoegd: een mach-o bestand die door de lvm compiler gebruikt wordt. Omdat ontwikkelaars soms sneller via Baidu kunnen downloaden dan via Apples servers, kiezen sommigen ervoor via deze onofficiële weg de Xcode-code te downloaden. Vervolgens compileerden ze hun apps met de aangepaste Xcode-versie en plaatsten deze in de App Store, waarbij de alarmbellen bij de controle blijkbaar niet afgingen.
In samenwerking met Fox-IT heeft Palo Alto Networks meer dan 50 apps geïdentificeerd die besmet waren. Daaronder waren apps voor instant messaging, internetbankieren, handelen in aandelen, navigatie en gaming. Sommige apps waren bijzonder populair in China, zoals chatapp WeChat, die honderden miljoenen gebruikers heeft. Ook apps die buiten China populair waren, zoals CamCard en WinZip werden getroffen. De beide bedrijven hebben een lijst van getroffen apps gepubliceerd.
De met de malware besmette iOS-apps onderscheppen systeeminformatie als de taalinstelling, naam en uuid van iPhones en iPads en het netwerktype. De gegevens werden via command-&-control-servers van de criminelen verstuurd. Vervolgens konden de kwaadwillenden notificaties naar smartphones en tablets sturen om gebruikersgegevens te stelen, url's te kapen en het clipboard van de gebruikers uit te lezen.
Ontwikkelaars wordt aangeraden Xcode 7 of Xcode 7.1 beta van Apples site te downloaden en gebruikers dienen de apps van de betreffende lijst de de-installeren en hun wachtwoorden een reset te geven.
Update, 13.55: De servers van Palo Alto Networks zijn op moment van schrijven down, maar de lijst met besmette apps is hier te vinden.

[master-magic]

Apple is zijn App Store aan het opschonen om malware-programma’s voor de iPhone en de iPad weg te halen. Het gaat om malware die geïdentificeerd is in wat Apple beschouwd als de eerste grootschalige cyberaanval op zijn online app-winkel.

Het concern kwam naar buiten met de aanval nadat diverse security-aanbieders gerapporteerd hadden over een kwaadaardig programma onder de naam XcodeGhost die geïntegreerd was in honderden legitieme apps. Apple heeft zeer stringente veiligheidsprotocollen bij het bepalen welke apps mogen worden opgenomen in de App Store.

Voorafgaand aan de huidige aanval zijn er in totaal slechts vijf kwaadaardige apps gevonden in de app-winkel van Apple. Dat stelt security-aanbieder Palo Alto Networks tegenover Reuters. Wel zijn er in iOS zelf en in iOS-apps aangeboden in online winkels van derde partijen vaker besmette apps gevonden. Ook was er in 2014 sprake van een hack van Apples iCloud, als gevolg waarvan content van duizenden gebruikers op straat kwam te liggen.

Apple laat weten dat de hackers de kwaadaardige coderegels in legitieme apps hebben gekregen doordat zij er in slaagden de ontwikkelaars van de apps een geïnfecteerde versie te laten gebruiken van Apples Xcode-software voor het maken van iOS- en Mac-apps. Een woordvoerster van Apple geeft aan dat er met de ontwikkelaars wordt samengewerkt om via een schone versie van Xcode hun apps opnieuw op te bouwen. De woordvoerster maakte niet duidelijk wat mensen kunnen doen om te achterhalen of zij wellicht een app gebruiken waar de malware in zit.

Volgens Palo Alto zijn de kwaadaardige coderegels slechts beperkt in functionaliteit en zijn er geen gevallen bekend van datadiefstal of andere problemen als gevolg van de aanval. De onderneming noemt het wel ernstig dat hackers er in zijn geslaagd om legitieme ontwikkelaars via geïnfecteerde software apps te laten bouwen met malware er in.

XcodeGhost is afkomstig van een server in China, aldus de aanbieder van firewalls. De Chinese security-aanbieder Qihoo360 Technology Co (QIHU.N) stelt 344 apps te hebben ontdekt die aangetast zijn door XcodeGhost. Apple zelf geeft geen commentaar op de hoeveelheid besmette apps.

[master-magic]

De WeChat messaging-app, de Baidu Music app en en de taxi-app DiDi taxi behoren volgens Apple tot de 25 meest populaire iOS-apps die zijn geïnfecteerd met malware. Dat laat Apple weten naar aanleiding van de grootschalige aanval op de Apple Store die begin deze week bekend werd. Volgens diverse security-aanbieders zijn honderden tot duizenden apps besmet, aldus Reuters.

Het concern kwam naar buiten met de aanval nadat diverse security-aanbieders gerapporteerd hadden over een kwaadaardig programma onder de naam XcodeGhost die geïntegreerd was in veel legitieme apps. Hackers hebben de kwaadaardige coderegels in legitieme apps gekregen doordat zij er in slaagden de ontwikkelaars van de apps een geïnfecteerde versie te laten gebruiken van Apples Xcode-software voor het maken van iOS- en Mac-apps.

Apple stelt op een Q&A-webpagina over XcodeGhost dat voor zover bekend de malware nog niets heeft uitgevoerd. Het totaal aantal geïnfecteerde apps is nog altijd onduidelijk. Security-aanbieder FireEye heeft het over mogelijk duizenden apps. Palo Alto Networks noemde enkele honderden apps. Apple werkt samen met de ontwikkelaars van geïnfecteerde apps om deze apps met een schone versie van Xcode te herbouwen. Omdat de malware op een Chinese server stond, zijn vooral veel Chinese ontwikkelaars getroffen.

Tot aan de nu ontdekte besmetting zijn er slechts vijf iOS-apps gevonden die met malware geïnfecteerd waren. Apple hanteert strikte toelatingsprotocollen voor apps.