macos 未公开“已识别威胁库”清单，但通过xprotect引擎动态更新yara签名库实现恶意软件检测；覆盖rustbucket、lockbit macos变种、xcsset等真实威胁，并支持终端命令查看版本号及apple安全公告追溯具体防护范围。
macos 本身不公开发布一份可供用户直接浏览的“已识别威胁库”清单，也没有像 windows defender 那样提供可视化病毒库版本号或实时签名列表。但它确实依赖一套动态、后台更新的恶意软件识别体系——核心是 xprotect 使用的 yara 签名库，这是 apple 实际用于检测已知 macos 恶意软件的权威威胁库。
XProtect 的威胁识别基于 YARA 签名
XProtect 是 macOS 内置的反恶意软件引擎，其检测能力完全依赖 Apple 维护的 YARA 规则集。这些规则以文本形式描述恶意软件的特征（如特定代码段、字符串、行为模式），而非传统意义上的“病毒库文件”。Apple 不开放该签名库供用户下载或查询，但会通过系统后台自动推送更新：
- 签名更新独立于 macOS 大版本升级，通常每周多次，响应速度快（例如发现新样本后数小时内即可部署）；
- 更新触发时机包括：App 首次启动、App 文件被修改、XProtect 自身签名库更新完成；
- 一旦匹配到某条 YARA 规则，系统会阻止运行，并将文件移至废纸篓，同时显示“已损坏”或“无法打开”提示。
哪些威胁类型已被 XProtect 实际覆盖？
虽然 Apple 不公布完整名单，但通过安全研究与公开披露可确认 XProtect 已识别并防御多类真实 macOS 恶意软件，包括：
WeChat macOS Proxy
下载
macOS 微信消息自动化工具。通过 GUI 自动化实现：发送消息给指定联系人、读取聊天内容、监控新消息。适用于需要自动化微信操作的场景，如定时发送、批量回复、消息备份等。依赖 peekaboo 进行屏幕截图和 UI 交互。仅支持 macOS。开源地址：https://github.com/chairmanmia...
- RustBucket（BlueNoroff/Lazarus 团伙开发，2022 年起活跃）；
- LockBit macOS 变种（勒索软件，已验证加密能力）；
- XCSSET（长期活跃的恶意开发工具链，可劫持 Xcode 项目）；
- 常见感染载体：伪装成破解工具、PDF 阅读器、视频编解码器的捆绑安装包（含 ffmpeg.dll、d3dcompiler_47.dll 等恶意 DLL）；
- 利用微软 Office 应用漏洞注入的恶意载荷（如 CVE-2024-41165、CVE-2024-43106 关联样本）。
如何间接了解当前防护覆盖范围？
用户无法直接查看威胁库内容，但可通过以下方式判断防护是否生效及覆盖哪些风险：
- 在终端执行：
sudo /usr/libexec/xprotecttool --version，可查看 XProtect 当前签名版本（如 2412.1.1），版本号越高通常意味着覆盖越新； - 访问 Apple 安全公告页面（support.apple.com/en-us/HT201222），搜索近期发布的 macOS 安全更新，其中会列出“XProtect 更新”所修复的具体威胁名称（如 “XProtect 2412.1.1 adds detection for RustBucket variant”）；
- 观察 Gatekeeper 和公证机制拦截记录：若某应用被拒绝打开并提示“已损坏”，往往说明它已被 XProtect 或公证撤销列表标记。
第三方资源可辅助理解威胁全景
虽然系统不提供内置威胁库视图，但专业安全社区维护了多个可信的 macOS 恶意软件参考库，可用于学习和比对：
- Objective-See 恶意软件库：提供精选、分类的 macOS 恶意样本（含分析说明），适合逆向学习；
- Contagio Dump：历史最久、样本量最大的 OSX 恶意软件存档之一，含大量已知家族样本；
- AlienVault OTX：公开威胁情报平台，搜索 “macOS” 可查到活跃 C2 域名、IP、YARA 规则片段等实战数据；
- osx-security-awesome（GitHub 开源项目）：整合上述全部资源及分析工具链，是研究人员的标准参考入口。
