家人的 Apple ID 开了双重认证，仍然被钓鱼，求大佬解惑，也顺便给大家提个醒

[airycanon]

时间线

7 月 12 晚上发生的事情，

• 23:33 ，丈母娘的手机突然被抹掉了资料，变成出厂设置的状态。
• 23:35 ，她拿手机找我给她看看，我以为是苹果系统问题，开始给她重新设置。
• 23:36 ，在设置的过程中，手机陆续收到了短信通知，我发现其中有银行、支付等字样。
• 23:37 ，开始意识到事情不太对，赶紧联系银行和微信支付冻结。
• 23:40 ，等到冻结完毕，已经产生了 20 多笔订单，共计 1.6w 。
• 23:50 ，报警之后，到社区派出所立案。
• 01:10 ，立案过程中，我在 Apple Store 的退款渠道提交了退款。

被盗经过

之前一直以为开了双重认证就高枕无忧，经过排查后，基本确定是被钓鱼了：

• 丈母娘曾经在某 App 购买虚拟商品，App Store 绑定了微信免密支付。

• 7 月 11 号下午，丈母娘在 Apple Store 上下载了一个叫 “菜谱大全” 的 App ，它的登录方式是 Apple ID 授权，这一步如果没有开启 iCloud+ 隐藏邮件地址的话，Apple ID 账号就会泄露，如图
  

• 接着，会出来一个跟 App Store 长得非常像的密码输入框，大家如果经常安装 App ，人脸识别失败的时候，就会有这个密码输入框，不熟悉 App Store 登录流程的话，很容易中招，如图
  

• 有了 Apple ID 的账号和密码，就可以登录了，这一步我跟丈母娘反复确认了，她没有见过双重认证的弹窗。

• 登录之后，他会把自己的号码，加入双重认证的信任号码中，目的是为了后续的登录可以通过自己认证，如图

• 到这一步，他已经掌握了受害者 Apple ID 的所有权限。

• 接下来，盗号者并不会直接用 Apple ID 下单支付，而是会创建一个家庭共享，加入另一个账号，由这个账号购买 App 中的虚拟商品，如图
  

疑问

整个钓鱼过程，我有一点不太理解，在开启了双重认证的情况下，除非我丈母娘主动输入验证码，否则即使对方拿到了 Apple ID 的账号密码，应该也无法登录才对，这里请大佬帮忙解惑。

尝试退款

我在 Apple 400 客服尝试了多种方式，最终都失败了:

• 在 reportaproblem.apple.com 页面申请退款，申请后联系客服告知被拒绝。
• 找负责 App Store 订单的客服，要求升级高级顾问，告知这是最终结果，升级也没有意义，被拒绝。
• 找负责 Apple ID 的客服，曲线救国，要求查询 Apple ID 被盗的问题，被告知查不到记录。
• 由负责 Apple ID 的高级顾问转到负责 App Store 订单的高级顾问，和该顾问扯皮了 2 小时，被拒绝。

目前还能尝试的方式：

• 打 12315 反馈
• 在工信部违法和不良信息举报中心投诉
• 起诉苹果

补充一下：
抹除设备是为了防止盗号者在支付的时候，受害者微信出现支付通知。
评论区有大佬提到，如果这个 APP 有截屏，可以截到双重认证的弹窗并上传，并不需要 Apple ID 所有者主动提供验证码。

这个 App 的权限只有两个：Siri 与搜索，无线数据

抓包看了下，app 会访问这个 app.yime888.com ，有没有大佬有兴趣爆破一下。

89 楼的大佬，给了一个绕过双重认证的思路，感觉是比较靠谱的。

感谢各位大佬，目前差不多搞清楚对方是如何绕过双重认证的：
对方在 App 内置了一个 Webview ，然后访问 appleid.apple.com/sign-in ，这一步系统会出现 Apple ID 的弹窗，如果人脸识别通过了或者输入了正确的密码，这个页面就登录了（可以理解为在内置的 safafi 打开了 Apple ID 的登录页面）。

接下来会出现密码弹窗，受害者输入密码之后，这个 Webview 可以注入一些 js 获取到 Cookie ，然后访问 appleid.apple.com/account/manage ，通过一些自动接收验证码的机制，配合 Cookie 和密码，就可以在受害者 Apple ID 的信任号码中加入他自己的号码，用来接收双重认证的短信。

最新情况：
昨天通过工信部提交投诉之后，一个苹果行政关系部的人联系我，说是会帮我处理退款的事，刚刚告知了我处理结果，还是拒绝了，目前只剩下起诉这一条路了。

最近情况：苹果刚刚把我家人的所有被盗订单都退款了，但是还没有跟我联系，感谢大家的支持。

[dididi9527]

@GHvyuR7N #87 确实很困惑，不知道为什么不放 app 的链接

[Uyloal]

@qinxiaozhi 也许开发者已经看到这篇帖子了 刚刚下载之后就开始闪退

[airycanon]

@dididi9527 我在 98 楼回复过了。

[bojackhorseman]

😨

[airycanon]

@Uyloal 我这边还是可以打开的。

[dididi9527]

@qinxiaozhi #95 可能开发者也注意到这个帖子了，于是关了后台

[1423]

APP 审核应该不允许这样的文本提示吧
难道是动态生成的?

[airycanon]

@1423 是的，这两个文本都是后端的 api 返回的。

[hellomynameis]

@Archeb 这么高级的钓鱼手段啊，哈人
这种软件如果能上架商店，那是苹果的锅了

[dididi9527]

@airycanon #103 理解，这看起来已经算是苹果的重大漏洞了，尽量收集好证据，看看能不能起诉苹果

[airycanon]

@Archeb 再请教下大佬，添加信任号码还需要，这一步是怎么自动完成的呢？

[texsd123]

自己下载试了下，发现软件没有登录窗口了，点一下就是“校验失败，请下载最新版本”，但是已经最新了，而且什么都加载不出来

[Jiajin]

@airycanon 它代码里执行了一段 js ，然后自动填充了手机号，然后自动点了继续，再自动输入之前骗到的密码，这一系列步骤，可能你是看不到的，它用个遮罩层挡住就行了。

[daiisdai]

iOS 那么安全

[Archeb]

@airycanon 这是添加的受信手机号，从你提供的图片可以看出是一个+1 的号码，这就很简单了。
北美 VOIP 提供商非常非常多，也可以使用 API 接入。在做这个操作的时候，他只需要从号池中随机抽取一个号码，然后填入这里并获取验证码，等后端 API 返回验证码然后填进去就完成整个操作了，全程自动化。

[alihbaba]

楼主发的地址后台
受害人挺多
[Imgur]( https://imgur.com/c7gCwcu)

[alihbaba]

[img][/img]

[alihbaba]

这种也是 还有交友的
[img][/img]

[Jiajin]

@alihbaba 秀啊，这么快就爆破了吗。。。

[alihbaba]

下载链接只有苹果的估计只是盗取 Apple ID 暂未发现提交安卓入口

[alihbaba]

@Jiajin 没用爆破 逻辑上的 密码不一定可以爆破出来

[airycanon]

@alihbaba 大佬能帮忙核实一个 apple id 吗？

[alihbaba]

@airycanon 他这个后台并没有查询 ID 的功能 只显示了 cookie 和密码的 有可能直接利用 cookie 替换进行操作或者就是还有一个总后台

[zhaozs1]

域名 yime888.com
注册商 Xin Net Technology Corporation
参照页 -
域名持有人/机构名称 -
域名持有人/机构邮箱 -
创建时间 2022-04-09
更新时间 2023-01-03
过期时间 2024-04-09
域名服务器 whois.verisign-grs.com
域名服务器 whois.paycenter.com.cn
DNS 服务器 ns11.xincache.com - 129.211.176.209
DNS 服务器 ns12.xincache.com - 36.155.149.176
域名状态 默认的正常状态 https://icann.org/epp

[airycanon]

@alihbaba 我提供一个密码，能帮忙查查吗，我正在收集证据准备起诉，目前就差这一环了，麻烦大佬了。

[lqcc]

真是防不胜防。

[zhaozs1]

IP: 103.229.183.139
位置: 香港, 東區, 柴灣
经纬度: 22.2661, 114.247
时区: Asia/Hong_Kong
运营商: MOACK.Co.LTD, Icidc Limited
ASN: AS136800 MOACK.Co.LTD

[nirvanahh]

插眼，蹲个后续情况

[alihbaba]

@airycanon 可以 你可以发过来

[alihbaba]

他们这个是从去年八月份开始的

[airycanon]

@alihbaba MTMzNzIxOTY4MjE= 需要解码一下，感谢大佬。

[alihbaba]

@airycanon 好的 稍等一下

[JusticeLanding]

蹲

[wetalk]

@oppoic #56 返回桌面是说上滑回到桌面，弹窗还在吗

[airycanon]

@alihbaba 方便的话，麻烦加个微信可以么，跟 V2EX 同号。

[barbery]

这个就很离谱了，严重关注

[Jiajin]

@airycanon 他这个骗局全程没有收集 appleid 的，全程只钓鱼了密码，appleid 都是后面添加受信任的手机号之后他那边才看到的。

[airycanon]

@Jiajin 明白了，这也就想通了，为啥我家人的 Apple ID 邮箱最先收到的邮件是被加入了一个信任号码。

[Vistaa]

是不是被盗的 ID 成为了家庭组织者，邀请了小号 ID 加入了家人共享？然后小号 ID 内购，这样扣款直接从被盗 ID 扣款？

[alihbaba]

找到一个和你说的时间差不多的 2023-07-11 18:19:59
第一个字母 Q 你看对不对 密码

[airycanon]

@alihbaba 是的，时间是对得上的。

[airycanon]

@Vistaa 是的。

[alihbaba]

@airycanon 那就没问题了 他这个后台没用收录 ID 号 有别的地方可以获取估计

[alihbaba]

@airycanon 可以 TG?

[mcluyu]

支付宝开通 Apple 免密的时候貌似默认勾选了支付限额 300 块， 这种时候支付限额还是很有用的。

[airycanon]

@alihbaba 好的，id 还是跟 V2EX 同号

[Orz]

Apple 就是垃圾。

[c7in7]

楼主，是否可以转到其他平台（加出处）让更多人知道这种骗术？

[alihbaba]

@airycanon 联系你了

[wtfedc]

@alihbaba 绿林好汉，👍

[really28]

吓得我赶紧关了十来个用 Apple ID 的 APP

[oppoic]

@wetalk 这个弹框出来，上滑是回不了桌面的。如果是第三方在 app 里伪造的，那么上滑自然就回到了桌面

[fuliti]

是有点可怕，不过，在我觉得，任何 APP 向你索要 ID 密码的时候，基本上可以卸载了。苹果手机，唯一安全的底线，就是这个密码

[ChoiKarl]

@Gadmin #74 我也很好奇是怎么做到的,能不能把代码共享出来研究下.

[0ranger]

@alihbaba #118 118 楼的 app 有链接吗？我想看一下这类弹窗和 apple 正版的差别（新下的菜谱大全已经打不开了）

[dsb2468]

提示来自于这里：
http://app.yime888.com/api/ck.php

[alihbaba]

@0ranger aHR0cHM6Ly9hcHAyLnlpbWU4ODguY29tL21hbmlmZXN0LnBsaXN0
这个你试试

[Archeb]

@airycanon #146 微信联系一下？

[Senorsen]

卧槽，这算是漏洞+社工了，苹果这些客服顾问真出事时一点用也没有，简直了。

[AkaHanshan]

哈人，这么严重的漏洞 Apple 居然熟视无睹还留着呢

[dsb2468]

这家伙不止收集 COOKIE ，还在收集抖音+快手的数据

[alihbaba]

弄到权限了

[AuYuHui]

@alihbaba 看大佬表演

[cat]

@alihbaba 大佬牛逼，膜拜一下，好人一生平安

[xctcc]

@alihbaba 大佬你是真牛逼

[Gaoti]

@wetalk 假的弹窗是在 app 内部的，回到桌面后你就会发现弹窗是在 app 界面上的，而不是系统级别的弹窗

[romisanic]

@alihbaba
膜拜一下大佬

[alihbaba]

那位老哥偷偷的裸机搞得 挂个代理

[0ranger]

@alihbaba #157 plist 提取的 ipa 直链下不了，可能是看到这篇文章了

[alihbaba]

@0ranger 有可能换别的 app 了

[alihbaba]

@0ranger aHR0cHM6Ly9hcHAueWltZTg4OC5jb20vaXBhLmlwYQ==
这个是我在服务器找的 你试试

[yyf1234]

@alihbaba 6 啊，请问是 ssh 爆破还是宝塔提权

[x1abin]

@dearmymy 国人日常反思党你好，如果你说的属实，那不是苹果自己售后策略的问题吗？国内淘宝京东都有 7 天无理由退货功能，人家不一样运作得好好的？我是亲自体验过苹果售后的高傲和拉跨的，竟然还有你这样帮苹果洗的。

[yghack]

按照这个思路,封装了一个 webview,测试了一下,确实不需要 2FA

[alihbaba]

@yyf1234 嫌麻烦 还没有提权只是弄到 shell 就没管了

[demonchang]

https://app.yime888.com/admin/login.php 这个后台

[alihbaba]

@demonchang 是的

[dsb2468]

@demonchang
控制面板： http://app.yime888.com/api/index.php

[alihbaba]

打包的时候隐蔽点啊

[feifeichen]

笑死，骗子回头一看，家都被偷了

[feifeichen]

另外建议别在这帖子暴露太多信息

[hahahabro]

@alihbaba 大佬你留个 tg ，直播一下吧

[dsb2468]

@alihbaba 你把他网站文件删了呀？我还准备给他改下域名地址来着。。
https://app.yime888.com/api/updata_urls.php?url=pianzi&url2=pianzi&url3=pianzi&num=1&txt1=1&txt2=1

[alihbaba]

@dsb2468 不是我 别人

[alihbaba]

遂把他东西打包了 日志还全删了

[alihbaba]

真他妈牛逼 真会装逼

[0x4C]

@alihbaba 不知道哪个会点技术的脚本小子乱搞……案发现场都没了人等下直接不认罪

[alihbaba]

@0x4C 真的 6

[samvvv]

谁给删了，有没有大佬备份了发一下。

[bluekz]

好家伙，这不是 fbi warning 吗！

[freekeeper]

打包给楼主应该有助于起诉😨

[BanShe]

看一眼都 404

[samvvv]

被删除前主页代码： https://anonymfile.com/Qp6zB/index.php

[DigitalG]

要不要提交到 https://news.ycombinator.com 那边？感觉也容易在海外引起关注。关注的人多了，Apple 多少会有下文的吧

[samvvv]

https://anonymfile.com/yKA9r/api-indexphp.txt
@yangzhi0635

[BanShe]

@0x4C 也可能自导自演

[windorz]

插眼, 过于离谱, 关注一下.

[aero99]

这个 APP 是在国区还是其他区下载的呢，这种 APP 也能上架应该是苹果审核的责任

[alihbaba]

@aero99 很多 之前谷歌商店也爆出过类似的

[SNOOPY963]

当时有篇报道说开了双重认证还被盗了我还不信