Apple 向 iOS 27.2 beta 添加了一个处于休眠状态的 Endpoint Security 堆栈
固件分析发现了一个受限的内核扩展和一个用户空间库，而 Apple 的公开 Endpoint Security API 仍然仅限于 Mac。
By Ryan Merket · Published
Primary source: IRIS C2 on X
为何重要
Apple 可能会在 iPhones 上获得类似桌面平台的漏洞利用遥测，而无需向第三方安全厂商授予等同的内核访问权限，从而收紧其对移动威胁检测的控制。
Apple 已在首个 iOS 27.2 测试版中放置了端点检测与响应系统的基础，加入了内核级监控代码，这可能赋予操作系统对尝试利用和受损进程的更深层次可见性。
名为 com.apple.iokit.EndpointSecuritySE 的组件出现在 9 月 16 日发布给开发者的固件中。Apple 将该构建列为 iOS 27.2 beta 24B5084k。根据进攻性安全供应商 IRIS C2 (@C2IRIS) 发布的固件比对，该组件在 iOS 27.0 的发布构建中不存在。
IRIS C2 的逆向工程发现了一个内核扩展和位于 /usr/lib/libEndpointSecurity.dylib 的用户空间库。固件研究员 Blacktop 也在 iPhone 内核缓存中独立识别出相同的新增项，包括一条错误字符串，指出某个 Endpoint Security 产品已拒绝某个进程的执行权限。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.