Kemon

إطار عمل مفتوح المصدر قائم على الاستدعاءات المسبقة واللاحقة (Pre and Post Callback) لمراقبة نواة macOS.

[ أخبار عاجلة - 28/08/2019 ]
ملاحظات إصدار macOS Catalina 10.15 Beta 7
https://developer.apple.com/documentation/macos_release_notes/macos_catalina_10_15_beta_7_release_notes

أمان نقطة النهاية

• تمت إزالة واجهة برمجة التطبيقات kauth API. (50419013)

/* بعد الاختبار، وجدت أن واجهات Kauth هذه لم تُزل بالفعل، ولا يزال Kemon يعمل. لكنني أعتقد أن ملاحظة الإصدار هذه تعني أن الباب أمام نواة macOS يغلق. (28/08/2019) */

ما هو Kemon؟

Kemon هو إطار عمل مفتوح المصدر قائم على الاستدعاءات المسبقة واللاحقة (Pre and Post callback) [1] لمراقبة نواة macOS [2]. بقوة Kemon، يمكننا بسهولة تنفيذ مراقبة اتصالات XPC/IPC [3]، وتصفية سياسات التحكم الإلزامي في الوصول (MAC)، ومراقبة حركة مرور الشبكة، وجدار حماية الإضافات النووية، وغير ذلك. بشكل عام، من منظور المهاجم، يمكن لهذا الإطار المساعدة في تحقيق Rootkit أكثر قوة. ومن منظور الدفاع، يمكن لـ Kemon المساعدة في بناء قدرات مراقبة أكثر دقة.

كما قمت بتنفيذ عدة مولدات اختبار اختراق للنواة (kernel fuzzers) [4] [7] بناءً على هذا الإطار، مما ساعدني في العثور على العديد من ثغرات النواة، مثل:

1. Apple Silicon AGX-based GPU، و IOMobileFrameBuffer، و Display Co-processor (DCP) [10]:
   CVE-2024-40854, CVE-2024-44197 [33], CVE-2024-44199 [34], CVE-2025-24106 [35], CVE-2025-24111 [38], CVE-2025-24257 [36], CVE-2025-24273 [37], CVE-2025-43326 [39] [40]، إلخ.

2. Apple's AMD and Intel-based GPU:
   CVE-2017-7155, CVE-2017-7163, CVE-2017-13883 [11], CVE-2018-4350, CVE-2018-4396, CVE-2018-4418 [12], CVE-2019-8807 [13], CVE-2022-22631, CVE-2022-22661, CVE-2022-46706 [23]، إلخ.

3. Wi-Fi IO80211FamilyV1/V2 [5] [9]:
   CVE-2020-9832, CVE-2020-9833, CVE-2020-9834 [15], CVE-2020-9899 [16], CVE-2020-10013 [17] [18] [19], CVE-2022-26761 [24], CVE-2022-26762 [25], CVE-2022-32837, CVE-2022-32847, CVE-2022-32860 [26] [27] [28], CVE-2022-32925, CVE-2022-46709 [29] [30], CVE-2023-38610 [31] [32], CVE-2025-43373 [41], CVE-2026-20621 [42] [43]، إلخ.

4. Bluetooth Host Controller Interface (HCI) [6]:
   CVE-2020-3892, CVE-2020-3893, CVE-2020-3905, CVE-2020-3907, CVE-2020-3908, CVE-2020-3912, CVE-2020-9779, CVE-2020-9853 [14], CVE-2020-9831 [15], CVE-2020-9928, CVE-2020-9929 [16]، إلخ.

5. آلية تعيين الذاكرة للنواة [8]:
   CVE-2020-27914, CVE-2020-27915, CVE-2020-27936 [20] [21], CVE-2021-30678 [22]، إلخ.

الميزات المدعومة

تشمل ميزات Kemon:

• مراقبة عمليات الملفات
• مراقبة إنشاء العمليات
• مراقبة المكتبات الديناميكية والإضافات النووية
• مراقبة حركة مرور الشبكة
• مراقبة سياسات التحكم الإلزامي في الوصول (MAC)، إلخ.

بالإضافة إلى ذلك، يمكن لمشروع Kemon توسيع واجهات المراقبة القائمة على الاستدعاءات المسبقة واللاحقة لأي دالة في نواة macOS.

البدء

كيفية بناء امتداد النواة Kemon

يرجى استخدام مشروع Xcode أو makefile لبناء مشغل kext الخاص بـ Kemon

كيفية استخدام امتداد النواة Kemon

يرجى إيقاف فحص حماية سلامة النظام (SIP) في macOS إذا لم يكن لديك شهادة نواة صالحة
استخدم الأمر "sudo chown -R root:wheel kemon.kext" لتغيير مالك امتداد النواة Kemon
استخدم الأمر "sudo kextload kemon.kext" لتثبيت امتداد النواة Kemon
استخدم الأمر "sudo kextunload kemon.kext" لإلغاء تثبيت امتداد النواة Kemon

المساهمة

مرحبًا بالمساهمة عن طريق إنشاء مشكلات (issues) أو إرسال طلبات سحب (pull requests). راجع دليل المساهمة للحصول على الإرشادات.

الترخيص

Kemon مرخص بموجب رخصة Apache License 2.0. راجع ملف LICENSE.

المراجع

1. https://patents.google.com/patent/US11106491B2
2. https://www.blackhat.com/us-18/arsenal/schedule/#kemon-an-open-source-pre-and-post-callback-based-framework-for-macos-kernel-monitoring-12085
3. https://www.blackhat.com/us-19/arsenal/schedule/#ksbox-a-fine-grained-macos-malware-sandbox-15059
4. https://www.defcon.org/html/defcon-26/dc-26-speakers.html#Wang
5. https://www.blackhat.com/us-20/briefings/schedule/index.html#dive-into-apple-iofamilyv-20023
6. https://www.blackhat.com/eu-20/briefings/schedule/index.html#please-make-a-dentist-appointment-asap-attacking-iobluetoothfamily-hci-and-vendor-specific-commands-21155
7. https://www.blackhat.com/us-20/arsenal/schedule/index.html#macos-bluetooth-analysis-suite-mbas-19886
8. https://www.blackhat.com/asia-21/briefings/schedule/index.html#racing-the-dark-a-new-tocttou-story-from-apples-core-22214
9. https://www.blackhat.com/us-22/briefings/schedule/#dive-into-apple-iofamily-vol--27728
10. https://www.blackhat.com/us-25/briefings/schedule/index.html#dead-pixel-detected---a-security-assessment-of-apples-graphics-subsystem-45392
11. https://support.apple.com/en-us/HT208331
12. https://support.apple.com/en-us/HT209193