一加内核开源，发现添加「和平精英」专项检测

1. 系统调用表（Syscall Table）#

• 开机时，为整个表记录一份 SHA256 指纹，之后每小时重新计算一次。
• 如果与初始值不符，就会记录一条带有时间戳记的事件。
• 限制：只比较表中的函数指针，不检查函数本体，因此 inline hook 是无法检测到的。

2. ko 模块加载（Kernel Module Loading）#

挂载在内核的 load_module 上，每次加载一个 ko 文件，就会对其映像计算哈希值，然后与名单进行比较：

• 不在名单中：记录为未知模块
• 哈希值不匹配：记录为被篡改
• 哈希值一致：放行

名单由系统进程 oplus_kohashpro 写入，并且必须等待系统报告开机完成后，检测才会启动。每类事件最多保留 10 条，超出部分会丢弃最旧的。