由於 iOS 安裝過程中的缺陷，即使在未越獄的裝置上，iPhone 或 iPad 上的任何應用程式都有可能轉化為強大的惡意軟體。並且前提是您必須與缺乏謹慎的用戶打交道。
事實上，FireEye 安全研究人員已經證明，可以使用為開發人員或企業保留的分發模式來安裝與真實應用程式具有相同標識符的惡意應用程序，例如 Gmail。結果：惡意軟體不僅會替換原始應用程序，還可以存取其創建的本地資料。這種攻擊場景稱為“掩碼攻擊”，適用於所有程序，除了 Apple 預先安裝在裝置上的程式。
這裡討論的特殊分發模式稱為企業/開發人員配置。它允許企業和開發人員無需透過Apple Store即可安裝iOS應用程式。問題在於，在這種情況下，iOS 系統不會對用於識別應用程式的憑證進行任何控制。因此，惡意應用程式可能具有標識符“com.google.gmail”，但沒有附帶的正確證書。
這也是研究人員在視訊演示中使用的範例。影片顯示，用戶收到一條短信，其中包含指向惡意網站的鏈接，用戶可以在其中下載新應用程式“New Flappy Bird”。實際上，這將取代 Gmail 應用程序，然後能夠恢復快取的電子郵件，代幣識別等一切都像科幻電影《掠屍者的入侵》一樣，人類在睡覺時被外星人取代。
但我們絕不能屈服於恐慌。對於要安裝的惡意應用程序，必須獲得用戶的同意。如果他無論如何都這麼做了，系統會在打開應用程式時詢問他是否真的想信任這個編輯器。然後，他可以（建議這樣做）卸載該應用程式。
這個故事的寓意是，你永遠不應該相信那些提供 iOS 應用程式下載的不起眼的網站。最好將自己限制在 App Store 中。
來源 ：
