本文来自曹政大神的微信公众号【caoz的梦呓】，caoz的文章篇篇犀利，值得细读与收藏，特转载过来，分享给大家，如果你也喜欢，可以微信搜索“caoz的梦呓”来关注他。文章所有版权归原作者曹政所有！
先做个简单常识的普及
我们常用的软件，手机APP，都是程序员编好程序代码，用编译器编译成可执行程序，然后在我们的电脑或手机上执行。
如果程序员存在疏忽或故意的一些行为，可能导致这个程序存在信息泄露或被利用，被入侵的威胁。这是我们常见的所谓安全漏洞，后门的形式。
如果程序员发布的版本被人恶意修改，也会成为所谓木马软件，这也是常见的一个安全问题，就是从非官方下载了包含木马的版本。
但今天遇到的这个不属于以上的范例，而是另一种极端的范例，程序员如果采用了包含恶意木马的编译器编译执行了他的代码，那么即便他的代码是安全的，但是编译生成的可执行程序也是有问题的。
今天的情况是这样，有些公司的程序员使用的是包含了木马代码的编译器来开发和发布APP，于是在他们完全不知情的情况下，发布了包含木马的APP，而苹果的市场在审核过程中，也没有能检测出这些恶意代码，因此这些包含恶意代码的APP顺利登录了appstore，并被数百万甚至数千万用户下载，这个中招的名单非常恐怖，包括网易云音乐，滴滴打车，简书，12306，同花顺，甚至中信银行卡空间！等等等等！
下面说一个问题
为什么程序员会用到包含木马的编译器？
原因大约是这样的，众所周知的中国互联网环境，访问海外网站的速度只能用你懂的形容。所以有些程序员急于开发，就想偷懒从国内下载，而最快的速度当然是使用迅雷来搜索和下载，而木马作者，将他开发的带有木马的编译器发布到了迅雷的平台上，提供种子，这就导致不明真相的程序员下载到了包含木马的版本，并且没有和官网的去做版本校验比对。
点击查看原文，有乌云官网的详细技术解读。
所有涉及app开发的公司，请尽快自检你们使用的编译器。
所有使用苹果手机的用户，也请密切关注有关报道，尽快卸载公告名单中的软件，并跟踪乌云或其他安全组织最新的公告寻求解决方案，具体不良影响是什么，是否需要修改你的苹果帐号密码，实话说，我也不是很清楚，如果您比较担心，建议修改密码。
评论