xprotect 是 macos 内置的静默拦截器，仅在文件下载完成、首次启动或签名库更新时，基于 yara 规则对已知恶意软件做一次性静态匹配并强制阻断，不支持实时监控、无文件攻击检测或用户交互。
xprotect 不是传统意义上的杀毒软件，它不主动扫描全盘、不弹窗提示、也不依赖用户交互。它的核心定位是“静默拦截器”，只在关键节点做一次轻量但精准的签名匹配。
触发时机：只在文件落地和启动瞬间检查
它不会实时监控内存或进程行为，而是严格绑定三个动作：应用首次启动、文件被下载完成（如 Safari 保存 .dmg 或邮件附件）、XProtect 签名库更新后重新校验已安装程序。这意味着，如果恶意代码走无文件路径——比如通过 bash -c "$(curl -fsSL ...)" 直接执行内存脚本，或用 /dev/fd/ 加载临时 payload，XProtect 就完全看不见。
检测机制：YARA 规则驱动的静态特征匹配
其底层是 Apple 自研的 YARA 引擎，规则库每天自动更新（路径：/Library/Apple/System/Library/CoreServices/XProtect.bundle），每条规则描述一段恶意行为的固定指纹，例如：
- 匹配特定字符串组合：如同时出现
installer.pkg和curl.*malware.sh - 识别可疑二进制结构：如硬编码的 C2 域名、加密密钥片段、或非常规 Mach-O 段名
- 捕获伪装行为模式：如进程名仿冒
softwareupdate但签名无效，或调用security find-generic-password后立即外传
响应逻辑：阻断+隔离，不依赖人工确认
一旦命中规则，XProtect 会立即终止进程，并将对应文件移入废纸篓（macOS 10.15+）。它不提供“允许运行”选项，也不等用户点击——这是它与 Gatekeeper 的根本区别。但它只处理已落盘的文件；对合法签名却带恶意功能的 App（如被供应链污染的工具），或经苹果公证的 AdLoad 变种，它同样无法识别。
协同短板：必须配合 Gatekeeper 才完整生效
XProtect 是第二道防线，前提是 Gatekeeper 已放行文件。若用户手动关闭 Gatekeeper（spctl --master-disable），或右键“打开”绕过校验，XProtect 就只能被动等待启动那一刻——而很多木马会在后台静默拉取 payload，首次启动时根本没恶意体。这也是为什么近期 Gaslight、伪装系统更新木马能高频得手：它们靠社交工程骗用户点开，再用 AppleScript 下载真载荷，XProtect 在那个“下载完成”的瞬间根本没东西可查。
