垃圾网易，开发 iOS 还用黑苹果？ Xcode 还在百度上去下载？

[lisonfan]

关于最近非官方渠道下载的 Xcode 编译出来的 app 被注入了第三方的代码问题分析 ： http://drops.wooyun.org/news/8864

网易云音乐也被注入了！
文明语言的网易，用了这么久，哎。
以后都不敢用网易的东西了，太不严谨了。
三石还是去卖你的猪吧

[lisonfan]

@moonou OS X 的默认安全设置按理来说是无法安装被修改的 Xcode 的（至少我用默认的安全设置，下载安装破解的 CMM 是安装不了的，提示我文件损坏）

[beimenjun]

微信 6.2.5 谁有装嘛试着抓一下包？ 6.2.3 以及 6.2.6 都没有抓出相关请求，我觉得中间版本出现这种感染的情况可能性不大。

[lisonfan]

@beimenjun 207 楼在微博上咨询了腾讯用户服务，官方承认 6.2.5 受到感染

[Caringor]

@yhxx 我們公司也是這個配置，幫你們網易遊戲部搞外包的 ←_←

[lenran]

这怎能怪 apple ，要怪就怪那些没有一点安全意识的开发者们

[JohnChu]

请不要全文转载文章

[lwd2136]

@freed 被挟持了？ 微博删了？

[SharkIng]

为什么这样有危险的 App 还能给正常审核发布到 App Store 呢？

[dartabe]

@SharkIng 就像法律一样 很多漏洞都要人去撞

[beimenjun]

@lisonfan 这个截图不可信，没有完整的对话。

[shizzmk]

好利害 一大波鏈條中招
不明覺歷 !!!!

[agassi_yzh]

http://adcdownload.apple.com/Developer_Tools/Xcode_7/Xcode_7.dmg
这个网址下载的需要 Apple Developer 权限的。迅雷下载明显不靠谱啊

[realpg]

早就发现这问题了……
在滴滴打车新版发现的……
因为一个打车软件还跟我要 icloud 密码……
果断发现有问题……

[shanigan]

这个事情跟苹果没一毛钱关系。 app 上传非隐私相关的使用数据是完全允许的，且不违反任何规则。审查是不会去审查这些东西的。

这事情跟黑苹果也没一毛钱关系，不论黑还是白，开发者都可以强行使用被修改过的 xcode 安装包。

最后，根本没有必要去算 hash 。任何在 mac 上运行的软件都是要有开发者签名的，否则 gatekeeper 会警告。被修改过的 xcode 开发包肯定是没有合法签名的。开发者安装的时候完全无视了 gatekeeper 的警告么？

[wj2061]

@beimenjun 感觉不可信， 微信团队 2 个月发一条 微博， 会 闲的 没事， 留言给自己招黑？

[yksoft1]

@shanigan Gatekeeper 只对支持 File Quarantine API 的应用程序下载的文件有效。

[reeonce]

最主要的原因还是 Xcode 本身就 3 点几 G ，在大陆下载很慢。所以很多人会在从百度云等地方下载。

没有去检测 hash 确实是开发者的疏忽。

[fan5013]

我想问问网易云邮件有问题没？各位大大

[aa45942]

影响力这么广的事件，受影响的 app 中还囊括了几大国企，估计 zf 也坐不住了吧。投毒者如果真在国内，估计要现形了

[maemolee]

@lisonfan 在另一篇帖子里面有疑似云音乐成员表示他们用的 Mac 进行开发的。 http://www.v2ex.com/t/221717#reply65