XcodeGhost 是首例透過編譯工具鏈植入惡意代碼的 iOS 供應鏈攻擊。駭客將植入後門的 Xcode 上傳至百度雲、迅雷離線、多個開發者論壇，誘導國內開發者下載（因官方 App Store 下載極慢）。受感染 App 上架 App Store，經審核機制未被攔截，影響數億用戶。

已知受感染 App 部分名單（2015/09 統計）

• 網易雲音樂、網易公開課、12306、中信銀行動卡空間、下廚房、中國聯通手機營業廳、高德地圖、簡書、豌豆莢開眼、滴滴出行、51 卡保險箱、同花順等

病毒危害評估

• 目前行為：收集裝置資訊（UUID、網路狀態、App 列表等）上傳至 C&C 伺服器，彈出釣魚視窗竊取 iCloud 帳密。
• 潛在風險：後門機制可遠端下載執行任意代碼，未來可能演變為勒索軟體、竊取金融資料、橫向攻擊企業內網。

創新攻擊手法：供應鏈投毒

傳統病毒感染編譯後產物，XcodeGhost 直接感染編譯器源頭，所有用此 Xcode 建置的 App 皆自動攜帶後門，傳播廣度極大，初期極難發現。

為何開發者用盜版 Xcode？

中國大陸 App Store 下載 Xcode（數 GB）極慢，開發者為求效率轉向百度雲、論壇分享的鏡像檔，給駭客可乘之機。

始作俑者追蹤

• C&C 域名：init.icloud-analysis.com（偽裝 Apple 官網，已關閉）。
• 網名「coderfun」，活躍於 iOS 開發論壇/微博，提供 Xcode 6.1~6.4 所有版本毒化下載。
• 代碼與伺服器無痕跡，屬經驗豐富黑客或黑產團隊，不排除持續作案。

影響擴大鏈路

1. 毒化 Xcode 上傳至豆瓣、SwiftMi、CocoaChina、OSChina 等論壇。
2. 百度雲大量分流、迅雷離線伺服器被感染（輸入官網連結下載仍可能得毒版）。
3. 開發者不知情編譯上架，App Store 審核未攔截（靜態分析難檢出動態載入後門）。

應對與防範策略

1. 開發者：僅從官方 Mac App Store 下載 Xcode，驗證簽名與雜湊值。
2. Apple：改善中國區下載速度、強化 App Store 審核機制（加入動態行為分析）。
3. 用戶：使用檢測工具掃描、更新/刪除受感染 App、修改 Apple ID 密碼、開啟雙因素認證。

輿論聲音

@Alamo：蘋果審核如地鐵安檢形同虛設；你的 xcode.dmg 已簽收，簽收人：草簽。

@bちゃん：編譯器病毒在教科書見過，沒想到真發生在 Xcode 上，何等喪病。

@Belleve：處心積慮多年佈局，四兩撥千斤，絕對載入史冊的攻擊案例。