macOS如何给下载的文件打上标签？

最新推荐文章于 2024-03-26 09:30:33 发布

tangsilian

最新推荐文章于 2024-03-26 09:30:33 发布

阅读量620

点赞数

分类专栏： # 2 MacOS安全

本文链接：https://blog.csdn.net/tangsilian/article/details/93548532

版权

2 MacOS安全专栏收录该内容

9 篇文章

订阅专栏

本文深入探讨了苹果Mac系统中XProtect安全软件的工作原理，包括如何通过YARA规则扫描并识别恶意软件，以及XProtect如何维护黑名单来保护系统免受威胁。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

qestion 1

在这里插入图片描述
系统怎么知道我是从浏览器上下载的？如何给文件进行打标签？

从internet上下载的文件 -rw-r–r--@有 ”@“这个标识

然后使用xattr能查看到里面的标签信息文件是从哪个网站下载而来的

question 2

苹果自带的Xprotect安全软件如何扫描下载的文件？

XProtect只是Apple将各个恶意软件列入黑名单的便捷方式。但它不会清理任何现有的感染，也不会检查以确保您的Mac在后台是干净的。主要由三个文件组成，会不定时更新。
在/System/Library/CoreServices/XProtect.bundle/Contents/Resources目录下
在这里插入图片描述
Xprotect.yara里含有一些病毒文件yara规则：

rule XProtect_OSX_AceInstaller_B
{
    meta:
        description = "OSX.AceInstaller.B"

    strings:
        $a1 = { 41 63 65 49 6E 73 74 61 6C 6C 65 72 }
        $a2 = { 73 65 74 4F 66 66 65 72 73 4C 61 62 65 6C }
        $b1 = { 2F 74 6D 70 2F 70 73 63 72 2E 73 68 }
        $b2 = { 2F 74 6D 70 2F 4F 66 66 65 72 25 6C 64 2E 73 68 }
        $b3 = { 2F 74 6D 70 2F 6D 73 63 72 2E 73 68 }

    condition:
        Macho and filesize < 250000 and
        $a1 or $a2 and
        all of ($b*)
}

rule XProtect_AdLoad_B_2 : dropper
{
    meta:
        description = "OSX.AdLoad.B.2"

    strings:
        $a1 = {48 8B ?? ?? ?? ?? ?? 48 8D 5D B8 48 89 03 C7 43 08 00 00 00 C2 C7 43 0C 00 00 00 00 48 8D ?? ?? ?? ?? ?? 48 89 43 10 48 8D ?? ?? ?? ?? ?? 48 89 43 18 4C 89 F7 ?? ?? ?? ?? ?? ?? 48 89 43 20 4C 89 FF 48 89 DE ?? ?? ?? ?? ?? 4C 89 FF ?? ?? ?? 48 8B 7B 20 ?? ?? ??
48 83 C4 30}
        $b1 = {67 65 74 53 61 66 61 72 69 56 65 72 73 69 6F 6E}
        
    condition:
        Macho and filesize < 300000 and $a1 and $b1
}

Xprotect.plist包含几十个item项的东西，不太像是病毒的hash
在这里插入图片描述