RinHit

RinHit - إطار عمل لاستطلاع نظام macOS البيئي. يجمع القطع الأثرية من نظام Apple البيئي لبناء خطوط زمنية لنشاط الشبكة وهوية الأجهزة المتقاطعة وربط الموقع الفعلي.

هذه هي وحدة الاستطلاع مفتوحة المصدر. تُستخدم الحمولة Swift مغلقة المصدر (rinhit-agent) داخليًا من قبل فريق الاختراق الأحمر لدينا وليست جزءًا من هذا المستودع.

الميزات

• استطلاع شبكات Wi-Fi - يحلل com.apple.wifi.known-networks.plist (القديم) أو يستخدم networksetup (macOS 15+ Data Vault)
• أجهزة Bluetooth - الأجهزة المقترنة والمخزنة مؤقتًا والمتصلة من com.apple.Bluetooth.plist
• سجل أجهزة USB - أجهزة USB المتصلة عبر ioreg (IOKit) وsystem_profiler
• محرك الارتباط - تحليل عبر القطع الأثرية:
  • هوية الأجهزة المتقاطعة (نقطة اتصال iPhone + AirPods)
  • أنماط التنقل (كشف شبكات Wi-Fi الخاصة بالفنادق/الضيوف)
  • بصمة المنزل/المكتب (كشف راوتر ISP)
  • تجميع الجلسات الزمنية
• تحديد الموقع الجغرافي دون اتصال لـ BSSID - ذاكرة تخزين مؤقت SQLite مع استيراد Wigle CSV
• تقييم الخطورة - المزامنة السحابية = high، نقطة الاتصال المحمولة = medium، إلخ.
• مخرجات JSON - تقارير منظمة لمزيد من التحليل

التثبيت

# Clone
git clone https://github.com/toxy4ny/rinhit.git
cd rinhit

# Build
go build -o rinhit ./cmd/rinhit

# Or install directly
go install ./cmd/rinhit

الاستخدام

عرض المجمعات المتاحة

./rinhit list

تشغيل جميع المجمعات (يتطلب sudo لشبكة Wi-Fi)

sudo ./rinhit scan -v

تشغيل مجمعات محددة

sudo ./rinhit scan -c wifi,bluetooth -v

التشغيل مع محرك الارتباط

sudo ./rinhit scan --correlate -v

حفظ التقرير في ملف

sudo ./rinhit scan -o report.json

قاعدة بيانات تحديد الموقع الجغرافي

# Import Wigle CSV dump
./rinhit geo import wigle-export.csv

# Lookup a BSSID
./rinhit geo lookup AA:BB:CC:DD:EE:FF

# Show cache stats
./rinhit geo stats

مثال على المخرجات

{
  "generated_at": "2026-08-21T21:09:10Z",
  "hostname": "MacBook-Pro-test.local",
  "user": "root",
  "artifacts": [
    {
      "id": "wifi-ns-iPhone7",
      "collector": "wifi",
      "type": "wifi-network",
      "name": "iPhone7",
      "severity": "medium",
      "timestamp": "2026-08-21T14:09:10-07:00",
      "source": "networksetup",
      "data": {"ssid": "iPhone7", "source": "networksetup"},
      "tags": ["wifi", "network", "macos15-fallback", "mobile-hotspot", "cross-device"]
    }
  ],
  "summary": {
    "total_artifacts": 12,
    "by_severity": {"info": 11, "medium": 1},
    "by_collector": {"wifi": 12}
  },
  "data": {
    "correlations": [
      {
        "type": "mobile-hotspot",
        "confidence": 0.7,
        "description": "Mobile hotspot 'iPhone7' detected - indicates iPhone/iPad tethering usage",
        "artifact_ids": ["wifi-ns-iPhone7"],
        "tags": ["mobile-hotspot", "tethering", "cross-device"]
      }
    ]
  }
}

البنية

rinhit/
├── cmd/rinhit/main.go          # CLI entrypoint
├── pkg/
│   ├── collector/              # Collector interface & registry
│   │   ├── wifi/               # Wi-Fi artifact collector
│   │   ├── bluetooth/          # Bluetooth device collector
│   │   └── usb/                # USB device collector
│   ├── model/                  # Artifact & Report structs
│   ├── parser/plist/           # Plist parsing with SIP fallback
│   ├── reporter/json/          # JSON reporter
│   ├── correlator/             # Cross-artifact correlation engine
│   └── geoloc/                 # Offline BSSID geolocation cache

التوسعة

لإضافة مجمع جديد، قم بتنفيذ واجهة Collector:

type Collector interface {
    Name() string
    Description() string
    Collect(ctx context.Context) ([]model.Artifact, error)
    RequiresRoot() bool
}

سجّله في buildRegistry() داخل cmd/rinhit/main.go.

ملاحظات OPSEC

• يعمل RinHit في وضع القراءة فقط - دون أي تعديلات على النظام
• على macOS 15+، تكون قائمة Wi-Fi محمية بواسطة Data Vault - يعود RinHit إلى networksetup (الاستفادة من الأدوات المتاحة)
• يمكن أن يؤدي تحديد الموقع الجغرافي لـ BSSID عبر واجهات برمجة التطبيقات العامة إلى كشف هوية المشغّل - استخدم ذاكرة التخزين المؤقت SQLite دون اتصال للعمليات الحساسة
• شغّل بأقل الصلاحيات الممكنة حيثما أمكن - فقط مجمع wifi يتطلب sudo

خارطة الطريق

• استطلاع شبكات Wi-Fi (plist + networksetup كخطة بديلة)
• أجهزة Bluetooth المقترنة والمخزنة مؤقتًا
• سجل أجهزة USB (ioreg + system_profiler)
• محرك الارتباط (عبر الأجهزة، التنقل، الزمني)
• استيراد Wigle CSV دون اتصال + البحث عن BSSID
• تحليل قاعدة بيانات TCC
• سمات الحجر الصحي الموسعة
• بحث بيانات Spotlight الوصفية
• الخط الزمني لسجلات Unified Logs
• تنسيق مخرجات SARIF
• تقارير Markdown قابلة للقراءة البشرية

الترخيص

MIT - انظر LICENSE.

"كما يثقب السوسة الثمرة ويضع بيضها ويقطع الساق لإخفاء آثاره، كذلك يخترق RinHit نظام Apple البيئي، ويزرع الثبات، ويُضعف الحدود الأمنية من الداخل."