假面攻击：你所有的iOS应用都在我们的手掌心|

通过Masque攻击，攻击者能够诱使受害者下载安装恶意应用，使用伪造的应用名（攻击者起的名字），而且该恶意应用会将合法的应用替换掉（使用相同的bundleidentifier）。Masque攻击方式无法替换iPhone自带的应用，如MobileSafari，但就是能替换从AppStore下载的应用。经过我们的总结发现，假面攻击会带来以下严重的安全后果：

1.攻击者会模仿原始应用的登陆界面以窃取用户的登陆凭证信息。我们通过对多个银行及邮件应用已经验证了这个事实。就是说这个恶意程序会使用与原始应用相同的UI界面欺骗用户，诱使他们输入自己的登陆凭证信息，然后攻击者将凭证信息传送到远程服务器上。

2.我们还发现原始应用的目录下的数据，比如说本地数据缓存，即使在原始应用被替换掉时，这些本地数据仍保留在恶意应用的本地目录中。所以恶意程序窃取了这些敏感信息。我们通过邮件类应用证实了这个事实，具体发现就是恶意软件窃取了重要邮件的本地缓存，然后将这些信息上传到其远程服务器上。

3.MDM（移动设备管理）接口无法辨别恶意应用和原始合法应用，如果它们使用的是相同的bundleidentifier。目前MDMAPI不会获取每个应用的凭证信息（certificateinformation）。这样的话，MDM也就很难发现此类攻击。

4.我们曾在病毒公告白皮书2014（Applewithoutashell–iOSundertargetedattack）中提到过，那些使用enterpriseprovisioning描述文件（我们都将其称作“EnPublic应用”）的应用不受苹果审查。因此，攻击者就是利用这一漏洞，使用iOS私有API进行强大的攻击活动，比如像后台监控（CVE-2014-1276）和模仿iCloud的UI界面来窃取用户的AppleID和密码的活动。

5.攻击者通过Masque攻击还能绕过正常应用的沙盒，然后通过利用iOS已知漏洞获取root权限，比如之前盘古团队进行的攻击活动。