إكس كود غوست

**إكس كود غوست**  (والمتغير XcodeGhost S) هما نسختان معدلتان من بيئة تطوير إكس كود (Xcode) التابعة لشركة أبل، تُعدَّان برمجيات خبيثة. حظيت البرمجية باهتمام واسع أول مرة في سبتمبر 2015، حين ضمت تطبيقات مصدرها الصين شيفرة خبيثة. وعُدَّ الهجوم، حسب هيئة الإذاعة البريطانية (بي بي سي)، أول هجوم واسع النطاق على متجر تطبيقات أبل. وقد حدد باحثون في علي بابا، وهي شركة تجارة إلكترونية رائدة في الصين، هذه المُشكِلات أول مرة. وأفادت شركة فاير آي أن الإصابة طالت أكثر من 4000 تطبيق، وهو عدد يفوق بكثير التطبيقات الخمسة والعشرين التي أقرت بها أبل آنفاً، ومن بينها تطبيقات لمؤلفين خارج الصين.

خمنت شركة شبكات بلوآتو أن بطء سرعة الشبكة في الصين دفع المطورين إلى البحث عن نسخ محلية من بيئة تطوير أبل إكس كود، فصادفوا نسخاً معدلة نُشرت في مواقع إلكترونية محلية؛ **مما** أتاح المجال لإدخال البرمجيات الخبيثة في تطبيقات مهمة تُستخدم في أجهزة آي أو إس.

وحتى بعد مرور شهرين على التقارير الأولية، **أفادت** شركة فاير آي أن مئات الشركات لا تزال تستخدم التطبيقات المصابة، وأن إكس كود غوست ظل يمثل خطراً أمنياً مستمراً. **وحددت** الشركة أيضاً متغيراً جديداً للبرمجية وأطلقت عليه اسم إكس كود غوست اس (XcodeGhost S)؛ وكان من بين التطبيقات المصابة تطبيق المراسلة الشهير وي تشات وتطبيق شركة نت إيز المسمى ميوزك 163 (Music 163).

## الاكتشاف
في 16 سبتمبر 2015، **ذكر مطور iOS صيني** في شبكة التواصل الاجتماعي سينا ويبو أن برمجية خبيثة في إكس كود تحقن شيفرة تابعة لجهات خارجية في تطبيقات جُمعت بواسطته.

**ونشر باحثون** في مجموعة علي بابا **آنذاك** معلومات مفصلة **عن** البرمجية الخبيثة وأسموها إكس كود غوست.

وفي 17 سبتمبر 2015، **نشرت** بالو ألتو نيتوركس عدة تقارير **عن** البرمجية الخبيثة.

## آلية العمل

### الانتشار
بسبب بطء سرعة التحميل من خوادم أبل، **كان المطورون الصينيون يميلون إلى تحميل** إكس كود من مواقع تابعة لجهات خارجية، مثل بايدو يون (تسمى الآن بايدو وانغبان)، وهي خدمة تخزين سحابي تستضيفها شركة بايدو، أو الحصول على نسخ من زملائهم. واستغل المهاجمون هذا الوضع بتوزيع نسخ مخترقة في مواقع استضافة الملفات هذه.

**وتشك** بالو ألتو نيتوركس في أن البرمجية كانت متاحة في مارس 2015.

### ناقل الهجوم

#### الأصول
[تصغير|وثيقة مسربة من [إدوارد سنودن. "Strawhorse: مهاجمة نظام تشغيل الماك وحزمة تطوير برمجيات iOS".]]
استخدم المهاجم هجوم الباب الخلفي للمترجم. وتكمن حداثة هذا الهجوم في تعديل مترجم إكس كود. وحسب وثائق سربها إدوارد سنودن، **زعم باحثون أمنيون** في وكالة الاستخبارات المركزية من مختبرات سانديا الوطنية أنهم "أنشأوا نسخة معدلة من أداة تطوير البرمجيات الخاصة بشركة أبل، إكس كود، يمكنها زرع أبواب خلفية للمراقبة في أي تطبيقات أو برامج أُنشئت باستخدام الأداة".

#### الملفات المعدلة
تضيف النسخ المعروفة من إكس كود غوست ملفات إضافية إلى تطبيق إكس كود الأصلي:

* إطار خدمات الجوهر (Core service framework) في منصات iOS ومحاكي iOS ونظام macOS.
* إطار IDEBundleInjection المضاف في منصات iOS ومحاكي iOS ونظام macOS.

كما عدل إكس كود غوست محرّر الروابط لربط الملفات الخبيثة بالتطبيق المجمّع. **ويُذكَر** هذا الإجراء في سجل التجميع، لكنه لا يظهر في بيئة التطوير المتكاملة لإكس كود.

تطبيقات iOS و macOS كلاهما معرضة لإكس كود غوست.

#### النشر
اخترق إكس كود غوست طبقة خدمات الجوهر، التي تحتوي على ميزات وأطر عمل تُستخدم **استعمالاً** واسعاً في التطبيقات. وعندما يجمّع المطور تطبيقه بنسخة مخترقة من إكس كود، تُدمج خدمات الجوهر الخبيثة تلقائياً في التطبيق دون علم المطور.

**ومن ثَمّ**، تضيف الملفات الخبيثة شيفرة إضافية في فئة UIWindow وفئة UIDevice. وتُعد فئة UIWindow "كائناً يدير وينسق طرق العرض التي يعرضها التطبيق في شاشة الجهاز".

أما فئة UIDevice فتوفر نموذجاً يمثل الجهاز الحالي، ومن خلاله يستطيع المهاجم الحصول على معلومات عن الجهاز مثل الاسم المعين وطراز الجهاز واسم نظام التشغيل وإصداره.

### السلوك في الأجهزة المصابة

#### مخاطر أمن التحكم عن بعد
**يُتحكَّم** في إكس كود غوست عن بعد عبر أوامر يرسلها المهاجم من خادم القيادة والسيطرة **بواسطة** بروتوكول HTTP. وتُشفَّر هذه البيانات باستخدام خوارزمية DES في وضع ECB. ولا يقتصر الأمر على ضعف وضع التشفير هذا فحسب، بل يمكن العثور على مفاتيح التشفير أيضاً عبر الهندسة العكسية. ويستطيع المهاجم تنفيذ هجوم الوسيط وإرسال حركة مرور HTTP وهمية إلى الجهاز (لفتح مربع حوار أو فتح تطبيق معين مثلاً).

#### سرقة معلومات جهاز المستخدم
عند تشغيل التطبيق المصاب، سواء باستخدام هاتف آيفون أو المحاكي داخل إكس كود، يجمع إكس كود غوست تلقائياً معلومات الجهاز مثل:

* الوقت الحالي.
* اسم التطبيق المصاب الحالي.
* معرف حزمة التطبيق.
* اسم الجهاز الحالي ونوعه.
* لغة النظام الحالي والبلد.
* المعرف الفريد للجهاز (UUID).
* ونوع الشبكة.

**وبعد ذلك**، يشفّر البرنامج الخبيث تلك البيانات ويرسلها إلى خادم القيادة والسيطرة. ويختلف الخادم من نسخة إلى أخرى من إكس كود غوست؛ وقد تمكنت بالو ألتو نيتوركس من العثور على ثلاثة عناوين خوادم:

* 
* 
* 

**واستُخدم** النطاق الأخير أيضاً في برمجية iOS الخبيثة KeyRaider.

#### القراءة والكتابة من الحافظة
يستطيع إكس كود غوست أيضاً، في كل مرة يُشغّل فيها تطبيق مصاب، تخزين البيانات المكتوبة في حافظة iOS، كما يمكنه تعديل هذه البيانات. وقد يكون ذلك خطيراً جداً إذا كان المستخدم يستعمل تطبيقاً لإدارة كلمات المرور.

#### اختطاف فتح روابط URL معينة
يستطيع إكس كود غوست أيضاً فتح روابط URL معينة عند تشغيل التطبيق المصاب. وبما أن أنظمة أبل iOS و macOS تعمل بآلية روابط التواصل بين التطبيقات (مثل 'whatsapp://' و 'Facebook://' و 'iTunes://')، يستطيع المهاجم فتح أي تطبيقات مثبتة في الهاتف أو الحاسوب المخترق. وقد تكون هذه الآلية ضارة مع تطبيقات إدارة كلمات المرور أو حتى في مواقع التصيد الاحتيالي.

### التطبيقات المصابة
من بين جميع التطبيقات الصينية، أصيبت تطبيقات المراسلة الفورية والتطبيقات المصرفية وتطبيقات شركات الاتصالات والخرائط وتطبيقات تداول الأسهم وتطبيقات التواصل الاجتماعي والألعاب. كما أصيبت تطبيقات شهيرة تُستخدم في جميع أنحاء العالم مثل وي تشات وتطبيق كام سكانر لمسح المستندات وتطبيق وين زيب.

**وزعم** فريق بانغو (Pangu Team) أنهم أحصوا 3,418 تطبيقاً مصاباً.

**وأفادت** شركة فوكس إيت (Fox-it)، وهي شركة أمنية مقرها هولندا، أنها وجدت آلاف المصادر لحركة المرور الخبيثة خارج الصين.

## الإزالة

### تحييد خوادم القيادة والسيطرة والنسخ المخترقة
بعد تقريري مجموعة علي بابا وبالو ألتو نيتوركس، أغلق موقع أمازون جميع الخوادم التي كان يستخدمها إكس كود غوست. كما حذفت بايدو جميع أدوات تثبيت إكس كود الخبيثة من خدمة التخزين السحابي الخاصة بها.

### إزالة التطبيقات الخبيثة من متجر التطبيقات
في 18 سبتمبر 2015، أقرت شركة أبل بوجود البرمجية وبدأت تطلب من جميع المطورين الذين لديهم تطبيقات مخترقة إعادة تجميع تطبيقاتهم بنسخة نظيفة من إكس كود قبل تقديمها للمراجعة مرة أخرى.

**وأصدر** فريق بانغو أداة للكشف عن التطبيقات المصابة في الجهاز، ولكنها -مثل تطبيقات مكافحة الفيروسات الأخرى- لن تعمل في جهاز لم يُجرَ له جيلبريك؛ إذ لا تسمح أبل بتطبيقات مكافحة الفيروسات في متجر تطبيقات iOS.

### التحقق من نسخة إكس كود
تنصح أبل مطوري إكس كود **بالتحقق من** نسختهم وتفعيل غيت كيبر (Gatekeeper) دائماً في أجهزتهم.

## المراجع

تصنيف:أدوات البرمجيات الخبيثة
تصنيف:برمجيات آي أو إس الخبيثة
تصنيف:برمجيات المحمول الخبيثة
تصنيف:برمجيات خبيثة
تصنيف:تطوير البرمجيات
تصنيف:حصان طروادة
تصنيف:مصرفات