每(mei)經編輯｜每(mei)經記者 趙娜(na)    

每經記者 趙娜

一向號稱(cheng)系統(tong)安全程度最高的(de)(de)蘋果這次(ci)也未能幸免，多款iOS應用(yong)因(yin)被植入這個代(dai)碼而有信(xin)息(xi)泄(xie)露(lu)風險。萬(wan)幸的(de)(de)是，尚未出現隱私(si)信(xin)息(xi)泄(xie)露(lu)。

消息(xi)一(yi)出，果粉們(men)都不淡定了(le)，自己(ji)的(de)手機到底有(you)沒有(you)被代碼“侵襲”？又該如何自測？《每日(ri)經濟(ji)新聞》記者也特此(ci)做(zuo)了(le)以下的(de)梳理，希望能對(dui)大家有(you)所幫(bang)助(zhu)。

獵豹移動(dong)安(an)全專家李鐵軍接受《每日經(jing)濟新聞》記者采(cai)訪時(shi)表示(shi)，此事件的解決需要等待相應的開(kai)(kai)發(fa)商更新應用。用戶如覺得(de)不保(bao)險，可以把(ba)相關應用暫時(shi)卸載掉(diao)。對iCloud帳號的潛在風險，可修改密碼或是開(kai)(kai)啟iCloud雙重驗證。

想自測手(shou)中(zhong)蘋果設備的(de)應(ying)用是否“中(zhong)招(zhao)”？日常使用有哪些安(an)全注(zhu)意事項(xiang)？Android用戶(hu)不能從(cong)Google Play官方(fang)渠道(dao)下載應(ying)用，又該注(zhu)意什么？“掃盲”開始(shi)！

作為iOS用(yong)戶，你需(xu)要知道：

1.裝了有XCodeGhost代碼的應用，有啥影響？

根據烏云(yun)漏洞(dong)報告平(ping)臺（以下簡(jian)稱烏云(yun)）對病毒樣本的分析，這些(xie)泄(xie)露信息其(qi)實并不涉及太多的隱(yin)私(si)問題。但是，病毒擁有更多的權限，它們在iPhone/iPad上彈出釣魚網站頁面，可能騙取(qu)iCloud帳號密(mi)碼，或者其(qi)他關鍵(jian)信息。

李(li)鐵軍告訴記者，大家分(fen)析的結果是認(ren)為代碼存在(zai)潛在(zai)風(feng)險，但包括iCloud帳號信息在(zai)內，只(zhi)是根據原理推測黑(hei)客能獲取(qu)，目前并(bing)沒有充(chong)分(fen)的證據表明隱私信息被(bei)獲取(qu)。

2.怎么自測手中蘋果設備的應用是否“中招”？ 需要卸載or更新？

App Store上的TOP5000應用中，有76款(kuan)被(bei)植(zhi)入XCodeGhost代碼。

微(wei)信、高德(de)地圖、滴滴出行、網易云(yun)音樂等(deng)用(yong)戶量較大的(de)知名APP，以及12306、中(zhong)信銀行動卡空間、南方航(hang)空等(deng)涉及民(min)生的(de)APP，均未幸免。

目前受影響的主流APP及其對應(ying)版(ban)本如圖：（來(lai)自騰(teng)訊雷(lei)霆行動公號(hao)）

看到這兒別著急，《每日(ri)經濟新(xin)聞》記者梳理發現，包括豌豆莢(jia)旗下(xia)開眼(yan)、網易(yi)云音樂、滴滴出行(xing)、微信(xin)、南方航空等多款APP，已通過關閉感(gan)染源服務器(qi)，或向蘋果App Store提交(jiao)新(xin)版(ban)APP等方式做出修復，并利(li)用微博(bo)等渠道通告用戶及時更新(xin)。

但要注意，已作出(chu)處理的(de)相關APP廠商里，只有部分在App Store的(de)版本更新介紹中(zhong)直接標明了已修(xiu)復XCodeGhost代碼問題等字樣。一(yi)句話，看到“中(zhong)招(zhao)”的(de)APP名，先留意對(dui)應(ying)的(de)版本號，廠商已修(xiu)復的(de)及時更新應(ying)用就好。對(dui)待廠商反應(ying)遲(chi)鈍的(de)，可以暫(zan)時卸載應(ying)用一(yi)段時間。

蘋果App Store已經采取行動，做法是把(ba)被感染XcodeGhost的應用下架，要求開發(fa)者(zhe)提交重新編譯的應用才(cai)能上架。

要(yao)(yao)還(huan)不放心，以“越獄”聞名的(de)盤古團隊開發了(le)一款(kuan)XcodeGhost檢測(ce)工具(ju)，有需(xu)要(yao)(yao)的(de)同(tong)學請微博(bo)搜索(suo)@PanguTeam，自行(xing)獲(huo)取檢測(ce)工具(ju)。

匯總下，對此事件及日常使用，iOS用戶如何“自保”？

今天(tian)（9月21日(ri)），騰訊(xun)雷霆行動建議用戶：

1、基(ji)于安全(quan)的考慮，最好對涉及到的密碼、支(zhi)付方式等(deng)進行修改；

2、不要(yao)越獄，只從(cong)官方市場下(xia)載軟件，當有人試圖套取你的iCloud帳戶密(mi)碼或者(zhe)其(qi)他重(zhong)要(yao)帳戶密(mi)碼、手機驗證碼時，必須謹慎(shen)對待；

3、對于“中(zhong)招”軟件，穩妥(tuo)起(qi)見暫時不要打開，靜待更新。目前微信等已(yi)經進(jin)行了修(xiu)復并將(jiang)版(ban)本修(xiu)復，用(yong)戶(hu)升級到新版(ban)即可；

4、為確保(bao)安全，用戶也可以(yi)選擇暫時卸載那些受影響軟件。保(bao)險起(qi)見，修改Apple ID密(mi)碼(ma)，iCloud帳(zhang)戶密(mi)碼(ma)。

作(zuo)為有著強(qiang)大好(hao)奇心和求知欲的iOS用(yong)戶(hu)，你(ni)或許要問(wen)：惡意代碼(ma)為何能被(bei)大批(pi)量(liang)植入進(jin)APP？

獵豹移(yi)動(dong)安全(quan)實(shi)驗室指出(chu)，程序員(yuan)使(shi)用Xcode非官方(fang)版(ban)本，可能(neng)有兩個原因(yin)：官方(fang)渠道下載緩慢，或者開(kai)發者使(shi)用了黑蘋(pin)果（盜版(ban)蘋(pin)果系(xi)統）開(kai)發。

9月19日早間，自稱寫(xie)入XcodeGhost代碼的(de)作者以 @XcodeGhost-Author（新注冊帳號）的(de)身份，在微博(bo)發表致歉(qian)聲明并(bing)公開源碼，稱這只(zhi)是一個(ge)實驗性(xing)項目(mu)，沒有任(ren)何(he)包(bao)含威(wei)脅(xie)性(xing)的(de)行為。

騰訊(xun)科(ke)技援引業內人士說法稱，作者并不(bu)希望被(bei)外界知道(dao)其身份(fen)。這份(fen)澄清聲(sheng)明的真實(shi)性引發(fa)業界熱議，但(dan)也獲得多個安(an)全領域專家轉(zhuan)發(fa)。

另有(you)觀(guan)點稱，這背后或存在著黑(hei)色(se)產業(ye)鏈（以下簡(jian)稱黑(hei)產）團(tuan)隊(dui)，涉(she)及多個平(ping)臺。

XCodeGhost事(shi)件暴露(lu)的是，辛苦的程(cheng)(cheng)序猿(yuan)們圖了一(yi)時方(fang)便。但(dan)你要知(zhi)道，程(cheng)(cheng)序猿(yuan)們也是出(chu)于被GFW（“防火長城”）阻隔的影響(xiang)。蘋果(guo)開(kai)發軟(ruan)件官網下載速度(du)慢，而Android開(kai)發包不“翻(fan)墻”就無法從官網下載。這(zhe)次之(zhi)后，廣大程(cheng)(cheng)序猿(yuan)估計會多(duo)加注意了。

如果有看到此處的Android用戶，你們沒有被遺忘！

“彩蛋（簡易(yi)）”安全指(zhi)南在此：

對開放性更強的(de)Android系統，受眾所周(zhou)知的(de)原因影響，堅(jian)持(chi)從官方(fang)商(shang)店Google Play下載(zai)應用的(de)國內用戶是小眾的(de)，主流(liu)用戶多(duo)從第(di)三方(fang)渠(qu)道獲取應用。

如此，請(qing)從騰訊應用寶、百度手(shou)機助手(shou)、豌豆(dou)莢等正規Android市場下載(zai)APP，拋棄來路不(bu)明(ming)的安裝源(yuan)。然(ran)后，下載(zai)應用前請(qing)別(bie)忽視軟件描述(shu)和權(quan)限，多(duo)看(kan)下是否有諸如官(guan)方版、安全、無廣告等字樣。對于(yu)認為申請(qing)可疑權(quan)限過多(duo)的APP，是不(bu)是考慮不(bu)裝或尋找同類替代品？

好消息是(shi)，Android M（6.0）系統(tong)將增加新的管理權(quan)限控制，新系統(tong)將實(shi)現(xian)直接(jie)讓用(yong)(yong)戶只同(tong)意勾選應(ying)用(yong)(yong)的部(bu)分權(quan)限，并在之(zhi)后隨時做出(chu)更(geng)改。此外(wai)，管理應(ying)用(yong)(yong)權(quan)限和結(jie)束進(jin)程這些功能，現(xian)在通過第三方APP也能實(shi)現(xian)。