App Store被注入恶意代码，网易云音乐躺枪

苹果App Store模式的出现，为第三方软件的提供者提供了软件销售平台，激励了第三方开发者的积极性，同时也加大了市场对个性化软件应用的需求。

这样的应用商店模式固然方便，但是需要厂商对应用的审核严格把关才行，不然就容易出现漏洞。雷锋网9月18日消息，根据乌云网和硅谷安全公司Palo Alto发布安全预警称，在App Store商家的多个应用被注入Xcode第三方恶意代码，这个代码可以将用户的信息发送到黑客的服务器上。目前得知，被感染恶意代码的应用就包括国内知名应用网易云音乐，最新的v2.8.3版本的网易云音乐已经感染病毒，据知情人士爆料，除网易云音乐外，12306、中信银行动卡空间等应用也受到了影响。

跟据技术分析，该病毒会收集应用和系统的基本信息，包括时间、bundle id(包名)、应用名称、系统版本、语言、国家等，并上传到init.icloud-analysis.com这个网址上，该网站域名为病毒作者申请，专用于收集数据。

对此，乌云网给出了相关建议，使用非官方渠道下载Xcode的iOS开发者请立刻展开清查和处理，恶意Xcode包含类似以下文件：

“/Applications/Xcode.app/Contents/Developer/Platforms/iPhoneOS.platform/Developer/SDKs/Library/Frameworks/CoreServices.framework/CoreService”

而正常的Xcode的SDK目录下没有Library目录。

相对于其他的应用商店，苹果一直非常奉行极其严苛的在安全策略，所以业内普遍认为，苹果应用商店App Store安全性要高于谷歌的Google Play。但百密终有一疏，在此次漏洞之前，苹果的App Store就曾经被曝过几次存在安全漏洞的问题，皆因App Store的审核程序漏洞之类的原因，导致恶意程序绕过审核而进入App Store。2013年，美国佐治亚理工学院的一组研究人员日前在App Store审核程序中找到了漏洞，可绕过审批程序向App Store输入应用，用户只要安装注入了恶意代码的应用，该应用就能够执行各种任务，如发送短信、电子邮件、在Twitter上发布消息、拍照、拨打电话，甚至重启系统等行为。

不过相对那次漏洞，本次的Xcode恶意代码并没有那么严重，由于苹果本身权限限制比较严格，这类信息的泄露相对来说威胁轻微，用户并不必过分担心账号安全。目前只需等待开发者重新开发安装包来替换原来的文件，到时用户更新应用即可。

9月18日下午更新。

网易云音乐就该漏洞一事，在下午发布了公告，称此次感染涉及信息皆为产品的系统信息，无法调取和泄露用户的个人信息。目前感染源制作者的服务器已经关闭，不会再产生任何威胁。一下为公告全文：