中国的恶意软件 WireLurker 是什么东西？

中国的恶意软件 WireLurker 是什么东西？

睡前看到有些不靠谱回答忍不住爬起来说下。

Updated 11.7:

AlienVault提供了新的PC上的WireLurker样本，该木马伪装成“绿色IPA安装器”，通过usb向连接越狱的iOS设备上安装木马。同时该样本中有更多木马作者和X芽地相关联的证据。ref:

Wireluker的中控服务器已经下线，Apple也吊销了其安装应用所使用的企业开发者证书。但是倒了一个wireluker，千千万万个wireluker站起来，不要低估国人的模仿能力。这次如果木马作者和利益群体得不到惩处，只会有更多人这么干。而且从央视幸灾乐祸的报道来看，似乎zf也无意深究此事。

部分事件原文请见

引用部分如下：

【2014.06.01 发布】最近我所有未越狱的 iOS 设备都出现了一个怪现象：与 Mac 同步之后会莫名出现若干企业应用。第一次是 5 月 21 日出现的“PP助手正版”（下图），接着一周后出现了“乱世之刃2”。

第二次出现奇怪的应用之时引起了我的注意。（头一次被我手快直接删除了）首先在“描述文件”中皆出现了开发商证书（下图）；其次首次启动该应用会弹出确认。

这个其实跟前段时间v2ex上曝光的machook木马是一个东西，目前普遍怀疑木马制作者DY在mXcx和X芽地网站分发的盗版OS X应用中插入了machook木马，有传闻木马作者和这两家公司有直接利益/雇佣关系（不可考）。比较搞笑的是在v2ex上发出曝光帖子之后，某网站的管理员忙不迭地发出律师贴要求v2ex删帖，简直是不打自招 =>

该木马在OS X端除了自启动、和控制服务器通讯更新、请求root权限、对抗用户清除、盗取用户隐私信息这些PC时代木马通常的手段之外，引起轰动的是该木马利用企业证书和itunes协议，向iPhone上安装木马，切实给未越狱的/越狱的iPhone带来了威胁。这不是什么新鲜的技术，完全是在未越狱/越狱的iPhone的技术框架允许范围之内，没有利用未知/已知漏洞。但是这庞大的一条黑色产业链和国人做黑产丰富的想象力，还是第一次曝光在公众面前。在非越狱的设备上，木马会通过企业证书静默安装应用以做推广一些国产应用进而牟利。由于走了企业证书通道，木马甚至可以安装没有经过Apple Store Review的使用私有API的应用，和自行重打包的应用（有没有想到了Android上的重打包？），在越狱的iPhone上，这个木马就有了大很多的施展空间，行为包括注入感染所有新安装的应用、窃取淘宝、美图秀秀、支付宝数据，读取上传通讯录appid wifi名称 地址、劫持按键和网页浏览行为等等等等。

Palo Alto发出的WireLurker分析文档还是很全面详细的，赞一个，有兴趣的可以仔细研读下

。 这篇文章里提到该木马已经演进了三个版本，在第二个版本中加入了感染iPhone的功能。

这个问题也并不是Mac所独有的，因为windows上也可以通过同样的协议给配对的iOS设备安装应用，就像很多PC软件用adb给安卓手机安装应用一样。

但是目前这件事在国内正逐渐往公关秀和添油加醋的报道上发展，至于这些由盗版软件带来的真正的威胁及应该进行的不要使用盗版软件的教育，和对木马制作者和相关方面的惩处，似乎有些消匿。全球黑色产业崭新的一页被媒体报道就变味了，央视的跟风报道由于记者缺乏专业素养，表达问题不清楚，将OSX第三方应用市场和iOS第三方应用市场混为一谈，很多人也压根不知道未越狱的iPhone通过企业证书途径是可以被静默安装应用的，导致很多人跟看笑话一样看这个新闻。

木马清除方法：

此外用little snitch等防火墙软件监控有没有进程连接到http://comeinbaby.com，有则也是被感染的应用，将其删除。