El número de apps afectadas por XcodeGhost es muy superior a lo esperado

La semana pasada informamos sobre XcodeGhost, una supuesta versión comprimida de Xcode que en realidad es un malware que ha conseguido colarse en la App Store de Apple, y que tras ser usado para desarrollar aplicaciones, estas quedaban infectadas, ya que XcodeGhost inyectaba malware en la compilación. Algunas aplicaciones conocidas como WeChat han sido víctimas del engaño.

El problema de XcodeGhost parece habérsele ido de las manos a los expertos en seguridad, siendo el número de aplicaciones afectadas muy superior al estimada en un principio. Si cuando el asunto se dio a conocer se estimó en unas 40 las aplicaciones afectadas, desde la firma de seguridad Appthority comentan que han identificado 476.

Por lo que se puede ver en el gráfico de abajo, XcodeGhost empezó a hacer de las suyas a partir del mes de abril, aumentando de manera notable su presencia en los cinco meses posteriores. Pero lo más sorprendente es ver la gran cantidad de aplicaciones que se han saltado las restricciones de Apple para su App Store durante ese periodo. Aquí los investigadores de FireEye van mucho más allá, reportando 4.000 aplicaciones de iOS infectadas por XcodeGhost.

Aunque no todas son malas noticias, ya que los investigadores de Appthority no han encontrado evidencias de que las aplicaciones infectadas por XcodeGhost hayan engañado a los usuarios para hacerse con sus credenciales en el ecosistema de Apple y otros servicios, teniendo las aplicaciones analizadas las siguientes capacidades:

1. Envía peticiones a un servidor (usando un temporizador de intervalo fijo entre las peticiones).
2. La petición contiene todos los tipos de identificadores del dispositivo.
3. La respuesta puede disparar las siguientes acciones:
   • Muestra un item de la App Store dentro la aplicación a través del uso de un SKStoreProductViewControllerDelegate.
   • Muestra una UIAlertView y la vista de la App Store dependiendo de qué botón es presionado.
   • Abre una URL.
   • Se queda detenido por un tiempo determinado.

Esto hace que la única manera que tiene una aplicación afectada por XcodeGhost para quedarse con las credenciales de un usuario sea redirigiendo a una web maliciosa.

Por otro lado, Apple no ha encontrado evidencias de que alguna aplicación haya sido usada con fines maliciosos, dejando entrever que estas eran menos peligrosas de lo esperado en un principio.

Fuente | ArsTechnica