Onderzoekers hebben in de officiële App Store van Apple tientallen met malware besmette apps ontdekt, zo meldt beveiligingsbedrijf Palo Alto Networks. De malware stuurt informatie over het toestel en de besmette app naar de aanvaller en kan op afstand opdrachten van de aanvaller ontvangen.

Via deze opdrachten kan de malware een waarschuwingsvenster laten zien waarmee wordt geprobeerd om inloggegevens te stelen. Ook kunnen bepaalde URLs worden gekaapt en is het mogelijk om data in het klembord van de gebruiker te lezen en aan te passen. Op deze manier kunnen bijvoorbeeld gekopieerde wachtwoorden worden gestolen. De malware wordt XcodeGhost genoemd. Xcode is de officiële tool van Apple voor het ontwikkelen van apps voor iOS of OS X.

Op verschillende Chinese websites en fora werden links naar een besmette versie van Xcode geplaatst. Deze besmette versie werd weer door Chinese ontwikkelaars gedownload en gebruikt voor het ontwikkelen van hun apps. De besmette Xcode-versie voegde echter malware toe aan de apps, die vervolgens door de ontwikkelaars in de App Store werden geplaatst. Volgens analist Claud Xiao kiezen sommige ontwikkelaars ervoor om vanwege de trage internetverbinding in China het bijna 3GB grote Xcode niet direct bij Apple te downloaden, maar via onofficiële downloadlocaties.

In eerste instantie leek het om twee besmette apps te gaan die alleen in de Chinese versie van de App Store werden aangeboden. Nu meldt Palo Alto Networks dat het 39 geïnfecteerde apps heeft aangetroffen, waaronder apps voor bankieren, aandelenhandel, instant messaging en games. Het gaat onder andere om WeChat, ontwikkeld door de Chinese internetgigant Tencent, Didi Chuxing, een soort Uber-achtige app en China Railyway 123036, de enige officiële app in China voor het aanschaffen van treinkaartjes.

Sommige van de door Chinese ontwikkelaars ontwikkelde apps zijn ook beschikbaar in de App Store van andere landen, zoals CamCard en WeChat. De besmette apps zijn door miljoenen mensen gedownload. Het Nederlandse bedrijf Fox-IT controleerde de domeinnamen die de aanvallers gebruiken en ontdekte nog veel meer besmette apps, waaronder Winzip en PDFReader. In totaal trof Fox-IT meer dan 50 besmette apps aan.