网络安全公司Zimperium最新研究报告警示，iOS设备正面临日益增长的威胁，尤其是来自未经审核及侧载(sideloaded)移动应用的风险。尽管iPhone通常被认为具备先天安全性，但该公司的分析显示，某些应用能够悄然绕过苹果的防护机制，使用户和企业暴露在风险之中。
这份基于真实事件和主动威胁研究的报告指出，攻击者正越来越多地通过权限提升、滥用私有API(Application Programming Interface，应用程序编程接口)以及完全绕过苹果应用审核流程的侧载漏洞等手段针对iOS系统发起攻击。
可信设备中的隐形风险
移动设备已成为企业运营的核心工具。然而Zimperium指出，多数企业仍忽视了一个最常见的安全薄弱环节：第三方应用，尤其是那些非官方App Store来源的应用。
即使是看似无害的应用也可能滥用权限或携带隐藏恶意代码。例如，手电筒应用若要求获取通讯录或麦克风访问权限，可能不会立即引发怀疑，但Zimperium强调此类请求可能导致敏感数据外泄或系统沦陷。
第三方应用商店和侧载应用风险更高。这些应用绕过了苹果的安全检查，可能利用未公开的系统特性或植入有害组件，悄无声息地追踪用户或访问企业系统。
现实攻击案例：TrollStore、SeaShell与MacDirtyCow
报告重点列举了攻击者成功利用iOS漏洞的多个实际案例：
(1) TrollStore利用苹果CoreTrust和AMFI模块的已知漏洞，通过修改授权(entitlements)实现应用侧载。这些通常仅限于系统级功能的授权，可使应用绕过沙箱机制或悄无声息地监控用户。
通过TrollStore分发的应用常伪装成无害工具，实则可能秘密访问系统日志、录制音频或连接外部服务器，为完全控制设备打开方便之门。
(2) SeaShell作为公开可获取的漏洞利用后(post-exploitation)工具，基于该技术实现远程控制被入侵iPhone。攻击者能通过安全连接提取数据、维持持久化访问及操控文件。Zimperium已监测到通过非官方渠道传播的SeaShell恶意软件样本。
(3)MacDirtyCow(CVE-2022-46689)则利用iOS内核中的竞态条件(race condition)临时修改受保护系统文件。虽然修改在重启后失效，但已足够篡改iOS权限或绕过限制。新近出现的KFD漏洞采用类似手法针对更新版iOS系统。
这些案例共同表明，攻击者能在用户毫无察觉的情况下，将访问权限提升至远超授权范围。
企业为何必须重视
此类威胁后果严重：基于应用的攻击导致的数据泄露可能造成经济损失、监管处罚及长期声誉损害。受严格合规要求约束的医疗、金融等行业风险尤甚。
Zimperium披露已识别超过4万款滥用私有授权的应用及800余款调用私有API的应用。其中虽可能存在合法的内部工具，但多数实属恶意。缺乏严格审核机制时，几乎无法区分安全与危险应用。
强化应用安全防护建议
Zimperium建议企业采取多层次防护策略：
严格应用审核：在企业设备部署应用前进行静态与动态分析，识别权限滥用、API误用或沙箱规避等可疑行为
权限监控：拒绝功能与权限需求不匹配的应用
侧载应用检测：监控第三方应用商店使用情况——这是恶意软件的常见传播渠道
开发者凭证分析：验证应用来源并识别声誉风险
此外，Zimperium移动威胁防御(MTD，Mobile Threat Defense)平台可自动检测侧载应用、系统入侵及行为异常，帮助及早发现威胁并阻断恶意活动扩散。
未来防护方向
随着攻击者不断找到绕过移动安全的新方法，企业必须将重心从事后处置转向事前分析。应用审核不再可选，而成为保护移动终端安全的关键环节。
面对TrollStore、SeaShell等活跃威胁，以及MacDirtyCow和KFD漏洞的持续滥用，移动安全团队容错空间极小。Zimperium的警示十分明确：不要仅因应用能在iOS运行就轻信其安全性，必须清楚其功能、来源及行为模式。
