有人自稱是 XcodeGhost 的作者，並且發佈了源代碼

[wezzard]

今天早上在微博看到的，有人自稱是 XcodeGhost 的作者，並且發佈了源代碼。

https://github.com/XcodeGhostSource/XcodeGhost

[yksoft1]

@likuku 同时也是侵犯了苹果的著作权

[ibremn]

http://security.tencent.com/index.php/blog/msg/96
看看腾讯的分析。。这个病毒有远程控制功能。。保守估计有 1 亿用户受此影响。
远比想象中的严重。。

[codecrash]

@1023400273 墙不是那么容易倒的

[shiny]

看到传闻说此人是 XY 助手公司的员工

[XDA]

别地方看到的翻译：“反正上是已经上了，不过没怀上，各位老公请放心并保持心情愉快！”


以后装 Xcode 还是从官网下 dmg 然后校验 MD5 和 SHA 放心，请 Apple 提供所有下载的 MD5

[glasslion]

呵呵， init.icloud-analysis.com 这个域名明显钓鱼的嘛

[sobigfish]

@ibremn 腾讯也是适合诸葛亮，查出来了怎么之前没像大众通报。

[sobigfish]

呃，这么多错别字
适合＝》事后
像＝》向

[lawder]

我觉得发送统计数据都是伪装，根据服务器返回的数据执行不同的代码才是它的真正目的。

[LINAICAI]

为什么他这么轻描淡写，但我却觉得性质非常恶劣。

[perseawe]

太扯淡了，明显是带有恶意的有意识的攻击行为。

[StargazerWikiv]

牛逼的人自然有牛逼的处理办法，编译器有漏洞好牛啊

[Dashit]

@yuelang85 iOS9 的 ATS 可以过滤域名。

[fallwithme]

@est 也许苹果可以要求开发者列出所有应用用到的域名，并必须在服务器上放一个使用开发者私钥签名的文件，然后屏蔽掉对其他域名的访问。当然，如果开发者的私钥被恶意 Xcode 窃取了那谁也没辙。

[fallwithme]

@XDA Gatekeeper 就是自动替你去校验可执行文件的机制，只不过很多人为了图方便把这个机制手工关闭了，更不能指望他们会去主动校验 checksum 了。

[Silicon]

想承受住微信活跃用户几个月的访问，不是个人开发者花几千块就能搞定的吧？
更何况还有网易云音乐和各种银行客户端，还有在百度云上的布局。
说是个人行为，鬼才信。

[est]

@fallwithme 理论可行，实际操作很难。比如 p2p 类。

[iheshix]

个人并不太相信。微博上喵神粗略的算了下：

＝＝＝＝＝＝＝＝
算个账，微信用户总数 5 亿日活 70%。每天每人就算 5 个 POST 请求，每个请求 300Byte ，日流入流量就接近 500G ，以及 17.5 亿次请求。据说服务器扔在亚马逊，那么资费算一下每个月应该是存储$450 ，请求$260K 。这还只是单单一个微信，再算上网易云音乐等等，每月四五十万刀仅仅是苦逼 iOS 开发者的个人实验？
http://weibo.com/2210132365/CBfDJiFTq
＝＝＝＝＝＝＝＝

所以，这个苦逼的 iOS 开发者挺有钱啊！

[Imivan]

周围的人没有一个知道这个事。

[a154312237]

让 xcode 在 build 的时候 加入一个有关 xcode 本身及其编译配置文件的校验值的签名
容易实现不？