Cydia の脱獄調整のデフォルトリポジトリの 1 つである BigBoss が、身元がまだ不明の個人または個人グループによってハッキングされたとされています。
攻撃者はBigBossリポジトリにあるすべてのパッケージ（有料・無料）にアクセスし、debインデックスとデータベースをダウンロードできるようにしたようです。さらに、BigBossがホストするすべての調整版をダウンロードできるように、Cydiaに追加できる新しいリポジトリを作成しました。
この種のセキュリティ侵害が発生する場合は常にそうであるように、脱獄ユーザーは注意して、これを避ける必要があります。
「ripBigBoss」と名付けられたこのウェブサイトとリポジトリは、Saurikの最近の「競争 vs コミュニティ」という発言を自らの行動の動機として利用し、「#WhichSideAreYouOn」や「#SupportTheCompetition」といったハッシュタグの使用を推奨しています。ただし、これらの言葉遣いは、彼らの行動を曖昧にし、別の集団に責任を転嫁するための、ある種の偽装手段として利用されている可能性があることに留意することが重要です。
脱獄ユーザーの皆様には、この新しいリポジトリからいかなるTweakもインストールまたはダウンロードしないよう強く推奨いたします。海賊版Tweakのダウンロードに対する道徳的な懸念に加え、ユーザーが知らないうちにデバイスにマルウェアをインストールするリスクも負う可能性があります。
BigBoss リポジトリ マネージャーの 0ptimo 氏は、このセキュリティ侵害についてまだコメントしていませんが、将来の侵害を防ぐために資産のセキュリティ保護に熱心に取り組んでいることは間違いないでしょう。
安全対策として、公式機関からより詳しい説明がされるまでは、BigBossリポジトリにホストされているTweakのインストールやアップデートは行わないことをお勧めします。公式リポジトリにマルウェアが混入される可能性は極めて低いですが、念には念を入れましょう。
なお、ripBigBoss の Web サイトへのリンクは意図的に設けていません。この Web サイトにアクセスする場合は、自己責任でお願いします。
BigBoss と SaurikIT にコメントを求めており、彼らから情報が得られればこの投稿を適宜更新します。
更新: Saurik 氏から以下の声明を受け取りました。
この記事はBigBossリポジトリにマルウェアが注入された可能性があると言及していますが、私たちはそのような事実はないと考えています。Cydiaリポジトリ内のパッケージは、リポジトリのパッケージインデックスに基づいて暗号的に検証されています。私はデフォルトリポジトリのパッケージインデックスに対するすべての変更履歴のインデックスを保有しており、BigBoss上のコンテンツがリポジトリ管理者が予期しない方法で変更されていないことを確認しています。
更新2:ハッカー@compiledEntropyによると:
ripbigboss リポジトリ内のマルウェアについて: すべてのパッケージをダウンロードし、それらの MD5 を bigboss によってリストされた MD5 と比較しました。
ここにリストされているものを除き、すべてのパッケージのチェックサムは一致していました: https://ghostbin.com/paste/6xsdz
リストに載っていないパッケージにはマルウェアが含まれていないことが保証されています。他のパッケージにもマルウェアが含まれていない可能性はありますが、明確に確認していません。
