安全研究公司 Palo Alto 網(wǎng)絡(luò)在上周末對(duì)一個(gè)新的 iOS 惡意程序進(jìn)行了報(bào)道,這個(gè)惡意程序正在對(duì)越獄設(shè)備進(jìn)行影響。這個(gè)惡意應(yīng)用名為“AppBuyer”(應(yīng)用買家),顧名思義就是編寫程式來偷取用戶的 Apple ID 和密碼,并用于購買 App Store 內(nèi)的應(yīng)用。
目前這個(gè)惡意程序是如何安裝的還不清楚,但據(jù)稱其可以通過一系列的方法進(jìn)行感染。包括惡意的 Cydia Substrate 插件或者是 PC 端的越獄工具。這些被感染的隨機(jī)應(yīng)用會(huì)周期性地在設(shè)備中彈出。
這個(gè)程序是一個(gè)木馬病毒,并且會(huì)執(zhí)行三個(gè)步驟。首先,它會(huì)下載一個(gè) EXE 文件來產(chǎn)生一個(gè)獨(dú)特的 UUID。第二它會(huì)下載一個(gè) Cydia Substrate 插件來偷取用戶的 ID 和密碼。第三,它會(huì)下載一個(gè)工具來登入 App Store 并購買應(yīng)用。
該如何進(jìn)行預(yù)防呢?和往常一樣,我們建議大家要遠(yuǎn)離那些未知的或者是有可疑的插件源。你也可以通過 iFlie 或者其它同類的軟件來查看你的設(shè)備是否包含了 AppBuyer 文件。
/System/Library/LaunchDaemons/com.archive.plist
/bin/updatesrv
/tmp/updatesrv.log
/etc/uuid
/Library/MobileSubstrate/DynamicLibraries/aid.dylib
/usr/bin/gzip
該研究公司還表示目前還沒有查出這個(gè)惡意程序如何加載到設(shè)備中,刪除這些文件可能不會(huì)完全解決問題。這也不是第一次有惡意程式對(duì)越獄設(shè)備進(jìn)行侵襲了。此前我們?cè)犨^ AdThief 和 Unflod 這兩個(gè)惡意程式的名字。