01 一場普通的營銷補(bǔ)貼活動

“我們上線不到24小時，就被薅空了。”

某出海公司運(yùn)營負(fù)責(zé)人小李至今心有余悸。一場營銷補(bǔ)貼活動，活動首周的預(yù)算，不到一天已經(jīng)被黑灰產(chǎn)分子有序薅盡。

活動剛開啟不久，批量賬號涌入，預(yù)算在活動上線 24 小時即被一薅而空。在 Facebook Marketplace 和 eBay，甚至國內(nèi)的某魚上，陸續(xù)出現(xiàn)轉(zhuǎn)售/代下單商品。當(dāng)天夜里小李緊急對賬，發(fā)現(xiàn)本次活動對業(yè)務(wù)增量收效甚微，而本期營銷預(yù)算卻已經(jīng)消耗殆盡。

這不是孤例。

有數(shù)據(jù)顯示，2025-2026年尤其在 AI Agent 營銷投入增加的背景下，黑灰產(chǎn)造成的營銷和算力損失也在增長。

下面是以往類似作案手段的簡要流程，其中依舊存在有較多的自動化、虛假設(shè)備特征可以被檢測。

但是本次小李遇到的團(tuán)伙做方案方式，更為復(fù)雜，經(jīng)過極驗安全團(tuán)隊分析：

這個黑灰產(chǎn)團(tuán)伙使用了基于 Virtualization.framework 的 iOS 虛擬化技術(shù)，可以直接在 macOS 上運(yùn)行創(chuàng)建和運(yùn)行全新的 iOS 設(shè)備，偽裝為新設(shè)備用戶，從而牟取經(jīng)濟(jì)利益。

此類技術(shù)更為隱蔽，傳統(tǒng)手段難以檢測，而以往類似作案多以 Android 和瀏覽器為主，iOS 虛擬化作弊方案鮮有所見，這打破了行業(yè)內(nèi)固化很久的認(rèn)知。

下面我們來聊聊 iOS 虛擬化的發(fā)展，以及對風(fēng)控體系的影響。

02 iOS 虛擬化從“實驗室”走向黑灰產(chǎn)的工具“農(nóng)場”

iOS 虛擬化技術(shù)的發(fā)展并非一蹴而就，而是經(jīng)歷了從艱難的指令集模擬、到商業(yè)寡頭壟斷，再到官方底層技術(shù)溢出至開源社區(qū)的三個重要階段。

QEMU 時代：早期探索與純軟件模擬

在硬件級虛擬化技術(shù)普及之前，社區(qū)主要依賴基于 QEMU 的純軟件模擬方案（如 Project Inferno 和 xnu-qemu-arm64 等項目）進(jìn)行初期的嘗試。然而，由于缺乏對 iPhone SoC 復(fù)雜外設(shè)（如屏幕、USB、內(nèi)部存儲器等）的底層逆向工程和驅(qū)動支持，早期的 QEMU 方案往往只能將系統(tǒng)引導(dǎo)至用戶態(tài)，并通過虛擬串口輸出啟動日志，無法實現(xiàn)完整的 iOS 圖形化系統(tǒng)模擬。

Corellium 時代：商業(yè)化方案的突起與官方博弈

隨著 Corellium 的橫空出世，iOS 虛擬化迎來了真正的工業(yè)級突破。Corellium 推出了一款專為移動設(shè)備從零構(gòu)建的裸金屬（Type-1）Hypervisor——CHARM，首次在基于 Ubuntu Linux 的定制 ARM 服務(wù)器上實現(xiàn)了高保真的 iOS 和 Android 虛擬化。這種顛覆性的技術(shù)動搖了蘋果封閉生態(tài)的根基。2019 年，蘋果對 Corellium 提起了嚴(yán)厲的侵權(quán)訴訟，指控其非法復(fù)制 iOS 操作系統(tǒng)。經(jīng)過漫長的法律拉鋸戰(zhàn)，美國法院裁定 Corellium 提供虛擬化 iOS 用于安全研究屬于“合理使用”，雙方最終于 2023 年底達(dá)成保密和解。

Corellium 的虛擬化 iOS 設(shè)備管理后臺，可隨意修改硬件標(biāo)識

vphone 時代：Apple 官方底層組件技術(shù)外溢與開源平民化

iOS 虛擬化技術(shù)的第三次范式轉(zhuǎn)移，源于蘋果自身云端戰(zhàn)略的演進(jìn)。

在推出 Apple Intelligence 及私有云計算網(wǎng)絡(luò)（PCC）時，蘋果為了向安全社區(qū)自證其云端處理的隱私安全性，史無前例地在 macOS 中內(nèi)置了供審計的虛擬研究環(huán)境。

這引導(dǎo)宿主回歸到封閉的 macOS 生態(tài)。敏銳的開源社區(qū)發(fā)現(xiàn)，自 cloudOS 26 版本起，蘋果在固件中悄然加入了與 vphone 相關(guān)的底層組件。

基于這一發(fā)現(xiàn)：

開發(fā)者們利用 macOS 原生的 Virtualization.framework 展開了逆向重構(gòu)。

從早期充滿硬編碼的概念驗證項目，迅速迭代出了更成熟、高度模塊化的命令行工具。未來甚至可能將 Virtualization.framework 移植到 Linux 生態(tài)上。

在macOS 上實例化的 vphone，與真實 iOS 設(shè)備環(huán)境差異不大

vphone 為什么更具威脅：低成本、規(guī)模化、高擬真

虛擬化技術(shù)不僅是底層代碼的博弈，其產(chǎn)品化路徑直接決定了它在真實網(wǎng)絡(luò)生態(tài)中的應(yīng)用走向。由于 Corellium 與 vphone 處于完全不同的商業(yè)與開源象限，它們在使用場景、產(chǎn)品落地以及對黑灰產(chǎn)生態(tài)的衍生影響上存在著巨大的鴻溝。

下表從業(yè)務(wù)與生態(tài)視角對兩者進(jìn)行了深度比對：

正如上表所呈現(xiàn)的，Corellium 走的是高舉高打的企業(yè)級服務(wù)路線，其高昂的定價體系與嚴(yán)格的客戶篩查機(jī)制，在客觀上將其受眾限制在了合法且資金充裕的專業(yè)網(wǎng)絡(luò)安全防御與合規(guī)審查領(lǐng)域，難以被黑灰產(chǎn)利用。

相反，vphone 生態(tài)的崛起徹底打破了長期存在的 iOS 動態(tài)調(diào)試技術(shù)封鎖與高昂成本壁壘。

這種底層技術(shù)的開放，在極大促進(jìn)安全社區(qū)繁榮的同時，也因為其“開箱即用”且不受任何集中化監(jiān)管的特性，不可避免地淪為了黑灰產(chǎn)自動化規(guī)避傳統(tǒng)設(shè)備指紋與風(fēng)控策略的溫床，迫使防御方必須升級其對抗手段。

蘋果提供 Virtualization.framework 以及獨(dú)立安全研究員提供 vphone 相關(guān)的工具是為了便于安全領(lǐng)域的研究，卻被黑灰產(chǎn)利用。黑灰產(chǎn)利用這種“新型開放的”虛擬化技術(shù)構(gòu)建低成本“云手機(jī)”設(shè)備農(nóng)場、自動化刷量作弊、游戲多開以及地理位置偽造等業(yè)務(wù)欺詐場景的新型底層基礎(chǔ)設(shè)施，對企業(yè)風(fēng)控防線構(gòu)成了嚴(yán)峻挑戰(zhàn)。

傳統(tǒng)認(rèn)知中 iOS 生態(tài)較為封閉，作為黑灰產(chǎn)作弊的風(fēng)險相對較小。但當(dāng)下 iOS 虛擬化技術(shù)的迭代演進(jìn)，卻具備以下特征：

• 成本極低化： 無需昂貴服務(wù)器，macOS 即可運(yùn)行，易于小作坊建設(shè)
• 環(huán)境真?zhèn)坞y辨化： 官方框架支持，擬真度高，繞過常規(guī)檢測
• 攻擊規(guī)?；?/strong> 開源工具隨取隨用，黑灰產(chǎn)輕松搭建“云手機(jī)”農(nóng)場

這些特征將打破以往 “iOS 較為安全的” 固有認(rèn)識，業(yè)務(wù)運(yùn)營不得不關(guān)注此類作案手段。

03 極驗如何虛擬化識別

與黑灰產(chǎn)賽跑，增強(qiáng)設(shè)備識別能力

隨著 Android/iOS 虛擬化工具的普及以及其在規(guī)避物理隔離限制方面的顯著優(yōu)勢，不僅在正面的安全防御研究獲益匪淺，部分為了牟利而進(jìn)行惡意自動化、模擬器多開刷量或地理位置偽造等灰色活動的黑灰產(chǎn)團(tuán)伙，也在不斷嘗試應(yīng)用新型的虛擬化技術(shù)到非法活動中。

為了應(yīng)對這類作案方式潛在對業(yè)務(wù)風(fēng)控帶來的挑戰(zhàn)，必須在風(fēng)控體系中補(bǔ)充能深入系統(tǒng)底層的探針，以識別真實的物理設(shè)備與偽裝的虛擬環(huán)境。

設(shè)備指紋產(chǎn)品流程圖

極驗設(shè)備指紋產(chǎn)品通過多種手段提升識別虛擬化環(huán)境的能力：

1. 底層特征
2. 基于硬件特征嗅探與偏差檢測
3. 環(huán)境反饋校驗

最終將此風(fēng)險以風(fēng)險標(biāo)簽碼 20207在用戶側(cè)呈現(xiàn)，便于用戶將此類風(fēng)險信號應(yīng)用到風(fēng)控規(guī)則平臺，并與業(yè)務(wù)場景結(jié)合。

結(jié)合業(yè)務(wù)場景，進(jìn)階使用設(shè)備指紋產(chǎn)品

極驗與上千家合作伙伴共建風(fēng)控設(shè)施，深知單純的設(shè)備指紋產(chǎn)品僅僅是風(fēng)控的一環(huán)，而一個平臺化的風(fēng)控規(guī)則決策平臺更是能滿足各種業(yè)務(wù)場景的實時風(fēng)控規(guī)則編排和規(guī)則的靈活調(diào)整、風(fēng)險感知的需求。

而在實際業(yè)務(wù)運(yùn)營中, 在對抗多變的風(fēng)險因素, 也往往需要動態(tài)對業(yè)務(wù)場景中的屬性進(jìn)行判斷、計算、流程編排、動態(tài)配置生效。

極驗決策引擎平臺應(yīng)運(yùn)而生，規(guī)則決策引擎+深度設(shè)備指紋的雙驅(qū)動時代是行業(yè)演進(jìn)的必然。

在極驗風(fēng)控決策平臺上可以進(jìn)行規(guī)則可視化編排，對異常風(fēng)險請求進(jìn)行實時決策的管理系統(tǒng)。

為了滿足這些目標(biāo)，我們設(shè)計了以規(guī)則流程優(yōu)先的設(shè)計模式來組織判定邏輯。同時在決策平臺上提供以下功能來簡化規(guī)則的編排，強(qiáng)化規(guī)則流程的關(guān)系，沉淀業(yè)務(wù)的核心邏輯：

• 黑白名單
• 表達(dá)式判斷
• 流程編排
• 實時計算引擎
• 動態(tài)配置

圖中為在決策引擎平臺上對不同節(jié)點的編輯

在下面的示例中，通過在決策平臺上編排黑白名單節(jié)點、決策表節(jié)點、風(fēng)險感知節(jié)點、閾值通知節(jié)點等等，形成貼合業(yè)務(wù)場景的策略規(guī)則，可幫助您在具體業(yè)務(wù)場景對風(fēng)險進(jìn)行感知和決策：

極驗規(guī)則決策引擎規(guī)則編排界面

使用極驗風(fēng)控決策引擎平臺+設(shè)備指紋解決方案，可以將設(shè)備風(fēng)險識別能力、設(shè)備指紋能力與業(yè)務(wù)自身的業(yè)務(wù)行為數(shù)據(jù)、賬號數(shù)據(jù)進(jìn)行更為緊密的關(guān)聯(lián)。既可以提供場景模版，也可定制化的貼合業(yè)務(wù)的風(fēng)控規(guī)則，為您更復(fù)雜的業(yè)務(wù)場景保駕護(hù)航。

結(jié)語

iOS 虛擬化技術(shù)的演進(jìn)，是反作弊（Anti-fraud）和業(yè)務(wù)風(fēng)控的長期軍備競賽的冰山一角。

傳統(tǒng)的設(shè)備指紋探針及風(fēng)控產(chǎn)品，面對傳統(tǒng)的技術(shù)手段還尚可一戰(zhàn)。然而，面對基于新型的虛擬化手段，業(yè)務(wù)側(cè)常規(guī)獲取的系統(tǒng)常量參數(shù)（DeviceID 等）將會被輕易繞過甚至被降維打擊。

所以，風(fēng)控方案必須由粗粒度設(shè)備特征檢測向基于側(cè)信道的行為特征融合方案演進(jìn)，方能在此類技術(shù)更迭的變局中維持對業(yè)務(wù)安全的有效監(jiān)控與阻斷能力。

因此，極驗除了提升設(shè)備指紋產(chǎn)品對新型風(fēng)險環(huán)境識別能力外，同時也提供更靈活的規(guī)則決策引擎平臺解決方案，讓客戶可以貼合自己的業(yè)務(wù)場景、業(yè)務(wù)行為進(jìn)行定制化的風(fēng)控規(guī)則，應(yīng)對多樣化、迭代頻繁的黑灰產(chǎn)工具和手段。