关于最近非官方渠道下载的 Xcode 编译出来的 app 被注入了第三方的代码问题分析 ： http://drops.wooyun.org/news/8864
网易云音乐也被注入了！
文明语言的网易，用了这么久，哎。
以后都不敢用网易的东西了，太不严谨了。
三石还是去卖你的猪吧
• 请不要在回答技术问题时复制粘贴 AI 生成的内容
This topic created in 3940 days ago, the information mentioned may be changed or developed.
Supplement 1 · Sep 18, 2015
防止文章被删，我截图做个保存吧
Supplement 2 · Sep 18, 2015
事情大条了，
Supplement 3 · Sep 18, 2015
Supplement 4 · Sep 18, 2015
根据热心网友举报，投毒者网名为” coderfun ”。他在各种 iOS 开发者论坛或者 weibo 后留言引诱 iOS 开发者下载有毒版本的 Xcode 。并且中毒的版本不止 Xcode 6.4 ，还有 6.1 ， 6.2 和 6.3 等等。
Supplement 5 · Sep 18, 2015
Supplement 6 · Sep 18, 2015
Supplement 7 · Sep 18, 2015
Supplement 8 · Sep 18, 2015
关于”？“的梗，如果给我一次编辑的机会，我会改成：我在微博上看到别人说网易用黑苹果，我就是质疑一下，有必要骂人吗？
Supplement 9 · Sep 18, 2015
Supplement 10 · Sep 18, 2015
感谢 @5up3r 提供的 XcodeGhost 感染的 App 列表
https://github.com/zengyun-programmer/XcodeGhostApps/blob/master/XcodeGhost%20Apps.md
https://github.com/zengyun-programmer/XcodeGhostApps/blob/master/XcodeGhost%20Apps.md
 |
102
Kilig Sep 18, 2015
不光网易呢，还有 中信银行动卡空间， 12306 ，滴滴出行，也被感染了
|
 |
103
beimenjun Sep 18, 2015
|
 |
104
n6DD1A640 Sep 18, 2015  1
这事与黑苹果无关。墙一半锅，厂商一半锅。
|
 |
106
lisonfan OP @qun1me1de 这个锅我来接。。。。
我解释一下吧： 1 、关于标题和内容：这个事情在微博上出来楼主本人看到之后，帖子内的链接当时只指出了网易云音乐（一楼附言也做了截图保留），所以楼主有点气愤，一家这么大的公司还出这事，而且我还是网易云音乐的用户，楼主所有的设备都在用网易云音乐（ Android iOS Mac Windows ）所以就起了这么一个标题。 2 、关于在回复 Jermic 说了这么一句话(我说了一定是黑苹果？你瞎没看见我打的”？“号？)：是我回复的不严谨，我的错。 |
 |
107
mulog Sep 18, 2015
|
 |
108
viator42 Sep 18, 2015
安卓 IDE 被黑了的话杀伤力会更大.
|
 |
109
ykswang Sep 18, 2015
用第三方的 Xcode 就是用黑苹果？这是什么逻辑推导啊
|
 |
110
cyberdak Sep 18, 2015
不过回到论题来
用白苹果也会去其他网站下载软件啊 app store 那个和吃了翔一样的速度 它能正常用，谁会去其他地方下？ |
|
111
cyberdak Sep 18, 2015
楼主还是解释啊
楼主是智障？ 楼主爸妈是近亲结婚生下来的智障？ 我和楼主一样使用了“？”标点符号。 |
 |
114
GKLuke Sep 18, 2015
奶奶的， Mac store 更新个 Xcode ，一个下午了，才下了 1.12G ，网速死慢
|
 |
116
NovemberEleven Sep 18, 2015
幸好我们在 app store 上下载的
|
 |
118
andyhunter Sep 18, 2015
@viator42 说不定早就被黑过了
|
 |
120
DingSoung Sep 18, 2015
一直都用 App Store 下载 Xcode 正式版或者 member center 下载测试版。
话说，如果不是因为网速，谁想从其他地方下。只是恰好这个被利用了。 iOS 安全越来越重要了 |
 |
123
mortal Sep 18, 2015
这几个讨论这件事的帖子里我找到了不少素质用户，感谢增加 B list~
|
 |
124
x86 Sep 18, 2015
在公司下的 xcode 快 2 个钟头
|
 |
126
yhxx Sep 18, 2015
@wind3110991
我是网易的 网易游戏的开发标配显示器是 24 寸的戴尔 2412M 其他配置也还可以，整机 6000 块的水平。不知道 iMac 是什么部门。 网易互联网开发标配电脑整机 3000 块水平。 |
|
128
DingSoung Sep 18, 2015
@wind3110991 你这什么逻辑， 985 牛了？ 大公司牛了？ 犯错了还这么屌
|
|
129
DingSoung Sep 18, 2015
扯毛线文化，大公司，真要舍得钱，要是为了开发好，就给全局自由网络访问，给不卡的开发机，给全套不同版本型号测试机。
那么多人用了百度那里流出来的 Xcode ，出了这么大的事，程序员说 ##“怪我咯？” 现在好多猿自备 VPN ，拿自己手机当开发机，猿想啊。那些出问题了的 app 的公司好好想想吧。 |
 |
130
qifei Sep 18, 2015
据说真是黑苹果
|
 |
131
int64ago Sep 18, 2015 via Android
我去网易面试，一个大厅里，几乎面试官都是人手一个 MAC
|
 |
132
satgi Sep 18, 2015
还好我觉得从网盘下载太山寨太 low 没有中招
另外公司的网不错，昨天更新了 Xcode 7 半小时搞定 |
 |
133
CareiOS Sep 18, 2015
这么多人中招呀，谁叫你们不在 Appstore 中下载？
|
 |
135
Felldeadbird Sep 18, 2015
我现在只想知道，我的 iCloud 帐号是否安全！！我手机安装了 网易音乐
|
 |
136
popok Sep 18, 2015
@inFinityzc 说的在理， LZ 不去谴责恶意代码作者，直接上来谴责网易，让人看着很无语。是人总有出错的时候，再说这次问题涉及很多家公司的 APP ，要喷也等网易后期处理问题后看看情况再说
|
 |
137
Parallel Sep 18, 2015
噗，弹框，之前经常莫名其妙弹出一个标准框来让输密码，毫无征兆。
|
 |
138
geeksu Sep 18, 2015
@Felldeadbird 赶紧改下密码为好，我刚改了
|
 |
139
Poko Sep 18, 2015
跟黑苹果没关系
|
 |
140
xjbeta Sep 18, 2015 via iPhone
听着网易云 回去赶紧看看我的黑果 23333
|
 |
141
Tink Sep 18, 2015 via iPhone
瞎逼黑
|
 |
143
WispZhan Sep 18, 2015
黑的真漂亮。
出事之前没人说，出事后 立马 各路牛鬼蛇神全来了。然后开始各种黑。 说明： 1.开始大家都不知道 自己用的 xcode 已经被修改 2.网络环境太差，没有直接去 app store 这么黑又意思么？ |
 |
144
bdnet Sep 18, 2015
如果是越狱了的苹果，不一定只会泄露这点信息吧
|
 |
147
ChoateYao Sep 18, 2015
吓得我卸载了国内一大批软件。
|
 |
148
fetich Sep 18, 2015
还好我机智地用安卓。
|
 |
149
yann1992 Sep 18, 2015
这个锅应该应该甩给ＧＦＷ嘛，要是速度好的话，干嘛去别的地儿去下
|
|
150
lisonfan OP 1
@popok 对恶意代码的作者我是骂他全家的
发帖的时候只公布出来网易云音乐，作为网易的用户我是愤怒的，推向公众之前都没有自查？而且这么大的公司用的开发工具既然随便就在百度上下载了？我喷的是网易的不严谨。 其实我很想编辑本帖，可是 V2EX 不允许 |
 |
152
ballkids Sep 18, 2015
和黑苹果没有一毛钱关系吧。。。
|
 |
153
Oi0Ydz26h9NkGCIz Sep 18, 2015
向网易邮箱大师客服询问邮箱大师是否安全，答复说是安全，没受此影响。
|
 |
154
amon Sep 18, 2015 2
1.为何都不去谴责黑客，致力于谴责黄易？是只能追着黄易咬吗，其它咬不到吗？
2.好好说话，别扯黑苹果行不行？老玩这个梗不烦的？ 3.苹果呵呵哒？ App Store 在中国体验差的 eb ，仅次于 Google Play 了。 Xcode 更新速度要能快点都还会去百毒盘下载吗？ iOS 端的 App Store 一样渣渣。 4.麻烦看到我这段文字不爽的请手动 block 我，另回复我一下“已 block ”，我必附赠 10 个铜币的感谢并随后 block 您，感谢！ |
 |
155
iluhcm Sep 18, 2015
感觉网易躺枪好无辜.
|
 |
156
licess Sep 18, 2015
同花顺、联通手机营业厅中招
|
|
157
lisonfan OP @amon 并不会 BLOCK
我昨天才在 AppStore 上更新的 Xcode ，能跑满带宽。 对于黑客是骂娘的，当时发帖没有在帖子里说出来 网易一家大公司，产品发布之前既然没有自查就推向公众，是不是不严谨？ |
 |
158
XDA Sep 18, 2015
一群人有这闲工夫不如多写几行高质量代码去。
独善其身。 |
 |
162
welkin001 Sep 18, 2015
第一句话给人感觉就是无脑喷，果真好热闹
|
 |
164
chinawrj Sep 18, 2015 1
@lisonfan
关于你对某个人的回复 “ 发帖的时候只公布出来网易云音乐，作为网易的用户我是愤怒的，推向公众之前都没有自查？而且这么大的公司用的开发工具既然随便就在百度上下载了？我喷的是网易的不严谨。 其实我很想编辑本帖，可是 V2EX 不允许 ” 我觉得你是对的，做后门的的确可恶。但是作为网易难道不应该保证开发工具是正规渠道获取的吗？找个非官方渠道，然后出问题了把锅甩给后门制作者？正如：去饭店吃到地沟油，然后饭店回复称：不是我们的错啊，我就在地边摊买的，谁知道他有问题啊。。。。 |
 |
165
CuSO4 Sep 18, 2015
网易有钱呢！！！！
|
 |
166
xiaoyao9933 Sep 18, 2015
我用的黑苹果，我的 xcode 还是从 app store 下载的啊，下载慢点， 4 个小时也可以搞定了。原版 mac dmg + clover, 我为黑苹果正名。
|
|
167
xiaoyao9933 Sep 18, 2015
@CuSO4 刚刚测试过了，没有发现问题。
|
 |
168
atao Sep 18, 2015
到底会有什么危害才是最重要的啊！！！！
|
|
169
CuSO4 Sep 18, 2015
@xiaoyao9933 感谢！
|
 |
171
knightdf Sep 18, 2015
还好我的 16G 小机因为可用空间为 0 了就没升级任何软件了，哈哈
|
 |
172
blacklee Sep 18, 2015
病毒感染的是 Mac 上的 Xcode ，而不是直接对代码进行更改。所以应该是只要提交 ipa 的那台机器没事，这事就不会发生。
我感觉这事可笑的地方在于，你们这些大厂怎么会把 Upload Archive 的权限交给“小白”？ 这活至少得交给组长做吧？还是说你们厂的组长其实也就这样？ |
 |
173
5up3r Sep 18, 2015
|
 |
174
WangYue7477 Sep 18, 2015
@Parallel 确实有那么一阵，老是弹出输入 appleID 密码的系统提示框，现在看来不越狱也有风险了。
|
 |
175
ggshiney Sep 18, 2015
上俩月和一个网易 iOS 开发的盆友聊天，至少他所在部门给配的黑苹果。
至于用 mbp 的人，大都是自己买的带到公司用。 |
 |
176
wind3110991 Sep 18, 2015
@dingsoung 事实而已
|
|
177
NovemberEleven Sep 18, 2015
@jimrok 惨，我们公司就是我来负责打包的。
|
 |
178
isevenfox Sep 18, 2015
感觉 国内 Android 的 IDE 也会跪么= =。这个被墙的更厉害啊。。。。
|
|
179
wind3110991 Sep 18, 2015
|
|
180
wind3110991 Sep 18, 2015
@qun1me1de 谢谢回复
|
 |
181
rwecho Sep 18, 2015
网易云音乐仍是我心中最好的软件，没有之一
|
 |
182
dreammes Sep 18, 2015
必然在国内掀起大风波
|
 |
183
JackBlack2006 Sep 18, 2015
苹果不是在国内搞了 CDN 么，上次下 10.11 GM 7MB/s 左右半小时不到就下完了
网易的人难道连百兆宽带都没有？ |
 |
184
SeanQu Sep 18, 2015
又发现几个中招的加上吧：马拉马拉，药给力，喜马拉雅，口袋记账。建议把已中招的列表放最前面。
|
 |
185
loryyang Sep 18, 2015
以前下载的时候都很鄙视页面上的 md5 码，觉得那没什么用，现在觉得吧，找个官网的 md5 码还是很有必要的，虽然下载可以找快的渠道
|
 |
186
ares001 PRO 蛮有意思的
|
 |
187
sm0king Sep 18, 2015
看了这么多，难道只有我们公司做了全网翻墙、不做任何网络限制么？
（哦，听网管说，最近，把那些经常用公司网络下载、上班时间经常看视频的稍微限制） 这么说，感觉自己好幸福。 |
 |
188
qun1me1de Sep 18, 2015
@lisonfan
我也是因为其他的事情导致情绪波动然后刚好看到你的帖子，才对你这样的标题感到奇怪； 如果你的内容像标题一样的语气的话 我感觉大家不会说你什么的。但是你的标题确实有点过火了 也没想过对你死缠烂打，锱铢必较；想了想，我也做的太过；对不起。别生气~ |
 |
189
run2 Sep 18, 2015
动卡空间...我擦－。－
|
 |
192
v2what Sep 18, 2015
这次事件又不止涉及网易一家公司，为何标题里只会指责网易呢，真是感觉怪怪的。
|
 |
193
fanux Sep 18, 2015 via Android
喜闻乐见
|
 |
194
mymon Sep 18, 2015 via Android
楼主你先解释下什么叫黑苹果？
|
 |
195
GPU Sep 18, 2015
除了云音乐 .其他中招的 App 都没有用 .网易还不更新么?
|
|
198
5up3r Sep 18, 2015
微信 6.25 也中招了。。。升级最新版即可
|
 |
199
lackar Sep 18, 2015
好可怕
|
 |
200
kingname Sep 18, 2015
我就奇怪了，你们一群人怎么没有人谴责苹果公司的审核不作为呢？
这些有问题的程序不过是网易云音乐也好， 12306 也好，中信银行下厨房也好，都是从苹果的 App Stroe 上面下载的，苹果的 app 审核人员竟然不能审核出程序有后门？那以后我写个 iOS 软件，然后加个后门，看看苹果能不能给我审核通过。 |
Select Language