إكس كود غوست

اختطاف فتح روابط URL معينة

وفي السياق ذاته، يستطيع إكس كود غوست كذلك فتح روابط URL معينة عند تشغيل التطبيق المصاب. وبما أن أنظمة أبل iOS و macOS تعمل بآلية روابط التواصل بين التطبيقات (مثل 'whatsapp://' و 'Facebook://' و 'iTunes://')، يستطيع المهاجم فتح أي تطبيقات مثبتة في الهاتف أو الحاسوب المخترق. وقد تكون هذه الآلية ضارة مع تطبيقات إدارة كلمات المرور أو حتى في مواقع التصيد الاحتيالي.

القراءة والكتابة من الحافظة

وفي السياق ذاته، يستطيع إكس كود غوست كذلك، في كل مرة يُشغّل فيها تطبيق مصاب، تخزين البيانات المكتوبة في حافظة iOS، كما يمكنه تعديل هذه البيانات. وقد يكون ذلك خطيراً جداً إذا كان المستعمل يستعمل تطبيقاً لإدارة كلمات المرور.

الاكتشاف

في هذا الإطار، في 16 سبتمبر 2015، ذكر مطور iOS صيني في شبكة التواصل الاجتماعي سينا ويبو أن برمجية خبيثة في إكس كود تحقن شيفرة تابعة لجهات خارجية في تطبيقات جُمعت بواسطته.

إضافةً إلى ذلك، وفي 17 سبتمبر 2015، نشرت بالو ألتو نيتوركس عدة تقارير عن البرمجية الخبيثة.

إضافةً إلى ذلك، ونشر باحثون في مجموعة علي بابا آنذاك معلومات مفصلة عن البرمجية الخبيثة وأسموها إكس كود غوست.

آلية العمل

الانتشار

كذلك، وتشك بالو ألتو نيتوركس في أن البرمجية كانت متاحة في مارس 2015.

ناقل الهجوم

ومن ناحية أخرى، بسبب بطء سرعة التحميل من خوادم أبل، كان المطورون الصينيون يميلون إلى تحميل إكس كود من مواقع تابعة لجهات خارجية، مثل بايدو يون (تسمى الآن بايدو وانغبان)، وهي خدمة تخزين سحابي تستضيفها شركة بايدو، أو الحصول على نسخ من زملائهم. واستغل المهاجمون هذا الوضع بتوزيع نسخ مخترقة في مواقع استضافة الملفات هذه.

الأصول

علاوةً على ذلك، استعمل المهاجم هجوم الباب الخلفي للمترجم. وتكمن حداثة هذا الهجوم في تعديل مترجم إكس كود. وحسب وثائق سربها إدوارد سنودن، زعم باحثون أمنيون في وكالة الاستخبارات المركزية من مختبرات سانديا الوطنية أنهم "أنشأوا نسخة معدلة من أداة تطوير البرمجيات الخاصة بشركة أبل، إكس كود، يمكنها زرع أبواب خلفية للمراقبة في أي تطبيقات أو برامج أُنشئت باستخدام الأداة".

الملفات المعدلة

تطبيقات iOS و macOS كلاهما معرضة لإكس كود غوست.

من جهة ثانية، كما عدل إكس كود غوست محرّر الروابط لربط الملفات الخبيثة بالتطبيق المجمّع. ويُذكَر هذا الإجراء في سجل التجميع، لكنه لا يظهر في بيئة التطوير المتكاملة لإكس كود.

• تضيف النسخ المعروفة من إكس كود غوست ملفات إضافية إلى تطبيق إكس كود الأصلي:
• إطار خدمات الجوهر (Core service framework) في منصات iOS ومحاكي iOS ونظام macOS.
• إطار IDEBundleInjection المضاف في منصات iOS ومحاكي iOS ونظام macOS.

http://init.icloud-analysis.com

كذلك، واستُخدم النطاق الأخير كذلك في برمجية iOS الخبيثة KeyRaider.

مخاطر أمن التحكم عن بعد

ومن ناحية أخرى، يُتحكَّم في إكس كود غوست عن بعد عبر أوامر يرسلها المهاجم من خادم القيادة والسيطرة بواسطة بروتوكول HTTP. وتُشفَّر هذه البيانات باستخدام خوارزمية DES في وضع ECB. ولا يقتصر الأمر على ضعف وضع التشفير هذا فحسب، بل يمكن العثور على مفاتيح التشفير كذلك عبر الهندسة العكسية. ويستطيع المهاجم تنفيذ هجوم الوسيط وإرسال حركة مرور HTTP وهمية إلى الجهاز (لفتح مربع حوار أو فتح تطبيق معين مثلاً).

إزالة التطبيقات الخبيثة من متجر التطبيقات

وفي هذا السياق، في 18 سبتمبر 2015، أقرت شركة أبل بوجود البرمجية وبدأت تطلب من جميع المطورين الذين لديهم تطبيقات مخترقة إعادة تجميع تطبيقاتهم بنسخة نظيفة من إكس كود قبل تقديمها للمراجعة مرة أخرى.

من جهة ثانية، وأصدر فريق بانغو أداة للكشف عن التطبيقات المصابة في الجهاز، ولكنها -مثل تطبيقات مكافحة الفيروسات الأخرى- لن تعمل في جهاز لم يُجرَ له جيلبريك؛ إذ لا تسمح أبل بتطبيقات مكافحة الفيروسات في متجر تطبيقات iOS.

النشر

من جانب آخر، ومن ثَمّ، تضيف الملفات الخبيثة شيفرة إضافية في فئة UIWindow وفئة UIDevice. وتُعد فئة UIWindow "كائناً يدير وينسق طرق العرض التي يعرضها التطبيق في شاشة الجهاز".

السلوك في الأجهزة المصابة

ومن ناحية أخرى، أما فئة UIDevice فتوفر نموذجاً يمثل الجهاز الحالي، ومن خلاله يستطيع المهاجم الحصول على معلومات عن الجهاز مثل الاسم المعين وطراز الجهاز واسم نظام التشغيل وإصداره.

وعلى صعيد آخر، اخترق إكس كود غوست طبقة خدمات الجوهر، التي تحتوي على ميزات وأطر عمل تُستعمل استعمالاً واسعاً في التطبيقات. وعندما يجمّع المطور تطبيقه بنسخة مخترقة من إكس كود، تُدمج خدمات الجوهر الخبيثة تلقائياً في التطبيق دون علم المطور.

سرقة معلومات جهاز المستخدم

http://init.icloud-diagnostics.com

من جانب آخر، عند تشغيل التطبيق المصاب، سواء باستخدام هاتف آيفون أو المحاكي داخل إكس كود، يجمع إكس كود غوست تلقائياً معلومات الجهاز مثل:

في هذا الإطار، ولاحقًا، يشفّر البرنامج الخبيث تلك البيانات ويرسلها إلى خادم القيادة والسيطرة. ويختلف الخادم من نسخة إلى أخرى من إكس كود غوست؛ وقد تمكنت بالو ألتو نيتوركس من العثور على ثلاثة عناوين خوادم:

http://init.crash-analytics.com

• الوقت الحالي.
• اسم التطبيق المصاب الحالي.
• معرف حزمة التطبيق.
• اسم الجهاز الحالي ونوعه.
• لغة النظام الحالي والبلد.
• المعرف الفريد للجهاز (UUID).
• ونوع الشبكة.

تحييد خوادم القيادة والسيطرة والنسخ المخترقة

وفي هذا الصدد، بعد تقريري مجموعة علي بابا وبالو ألتو نيتوركس، أغلق موقع أمازون جميع الخوادم التي كان يستعملها إكس كود غوست. كما حذفت بايدو جميع أدوات تثبيت إكس كود الخبيثة من خدمة التخزين السحابي الخاصة بها.

التطبيقات المصابة

الإزالة

ومن ناحية أخرى، من بين جميع التطبيقات الصينية، أصيبت تطبيقات المراسلة الفورية والتطبيقات المصرفية وتطبيقات شركات الاتصالات والخرائط وتطبيقات تداول الأسهم وتطبيقات التواصل الاجتماعي والألعاب. كما أصيبت تطبيقات شهيرة تُستعمل في جميع أنحاء العالم مثل وي تشات وتطبيق كام سكانر لمسح المستندات وتطبيق وين زيب.

من جانب آخر، وزعم فريق بانغو (Pangu Team) أنهم أحصوا 3,418 تطبيقاً مصاباً.

في هذا الإطار، وأفادت شركة فوكس إيت (Fox-it)، وهي شركة أمنية مقرها هولندا، أنها وجدت آلاف المصادر لحركة المرور الخبيثة خارج الصين.

التحقق من نسخة إكس كود

وعلى صعيد آخر، تنصح أبل مطوري إكس كود بالتحقق من نسختهم وتفعيل غيت كيبر (Gatekeeper) دائماً في أجهزتهم.