xprotect 能拦截已知勒索软件（如 keranger、evilquest），依靠 yara 签名在首次运行、文件修改或签名更新时静默扫描并阻止，但无法防御新型变种、无文件攻击及社会工程诱导授权。
xprotect 对 macos 勒索软件有一定拦截能力，但不能完全依赖它来防御所有勒索攻击。
XProtect 能拦住哪些勒索软件
它主要靠 YARA 签名识别已知勒索样本，比如早期的 KeRanger、EvilQuest 或部分 Shlayer 衍生变种。一旦 Apple 收集到新样本并生成签名，XProtect 会在数小时内自动更新（无需系统重启），对匹配到的勒索程序在首次启动时直接阻止执行，并将其移入废纸篓。
- 检测时机包括：应用首次运行、文件被修改、XProtect 签名库更新后自动重扫
- 对伪装成 PDF、Installer.pkg 或“系统工具”的勒索载荷较敏感
- 能识别常见加密行为模式，例如批量重命名文件 + 添加特定后缀（.locked、.crypt）
为什么它防不住新型勒索软件
像 Banshee 这类新型勒索木马，会刻意模仿 XProtect 的内部检测逻辑，混淆代码结构、使用合法签名或公证票据，甚至将恶意负载拆解为多个 Zsh 脚本分阶段加载——这些手段让静态签名难以命中。
- 签名库存在滞后性：从样本捕获、分析到签名上线，通常需数小时至一两天
- 无法检测无文件攻击（如内存中执行的 PowerShell/Zsh 恶意脚本）
- 对社会工程诱导用户主动授权的场景无能为力（例如“请允许此工具优化系统”弹窗）
真正起作用的其实是组合防线
单独看 XProtect 是被动扫描，它的实际防护效力来自与 Gatekeeper、TCC 和系统完整性机制协同工作：
- Gatekeeper 拦截未公证的勒索安装包，大幅减少初始入口
- TCC 限制勒索软件访问钥匙串、摄像头、iCloud 文档等高价值目标
- Apple Silicon 的硬件级隔离（如 Pointer Authentication）让某些内存劫持类勒索失效
- MRT（恶意软件清除工具）会在后台尝试清理已落盘但尚未激活的勒索组件
用户该怎么做才更可靠
把 XProtect 当作基础层，而非唯一防线：
- 保持 macOS 和 App 更新——很多勒索利用的是旧版系统漏洞
- 禁用不必要的自动化任务（尤其是 LaunchAgents 中来历不明的 .service 文件）
- 定期检查 ~/Library/Application Support/ 和 ~/Library/LaunchAgents/ 是否有异常隐藏文件
- 启用 Time Machine 并保留至少 3 个不同时间点的备份（勒索软件常删除或加密本地备份）
