XProtect Remediator Test Suite

Eine Sammlung von Skripten und Dokumenten, die zukünftige Forschung zu XProtect Remediator (XPR) unterstützen soll, vorgestellt auf der Black Hat USA 2025

Über dieses Repository

Dieses Repository enthält:

• Die Skripte zur Erstellung harmloser minimaler Dateien und Prozesse, die die Bereinigung jedes Scanning-Moduls von XPR nachbilden.
• Die Dokumente, die die reverse-engineerte XPR-Bereinigungs- (oder Erkennungs-) Logik unter Verwendung der RemediationBuilder DSL beschreiben.

Diese Skripte und Dokumente wurden zu Verifikationszwecken unseres Reverse Engineerings von XPR erstellt. Wir hoffen, dass dieses Repository für Sicherheitsforscher nützlich sein wird, die in Zukunft XPR-Analysen durchführen und verstehen möchten, unter welchen Bedingungen eine Bereinigung erfolgt.

HINWEIS: Bitte führen Sie diese Skripte in einer virtualisierten Umgebung aus.

Vorbereitung

Um <private>-Einträge in den Unified Logs sichtbar zu machen, folgen Sie den im folgenden Artikel beschriebenen Schritten.

Unified Logs: So aktivieren Sie private Daten

Verwendung

Wechseln Sie mit cd TestSuite/<module_name> in das Verzeichnis und führen Sie ./run.sh aus.

cd TestSuite/Adload
./run.sh --test-case service

Einige Testfälle erfordern Root-Rechte zur Ausführung. Sie sind jedoch grundsätzlich so konzipiert, dass sie mit Benutzerrechten ausgeführt werden können.

cd TestSuite/RedPine
sudo ./run.sh --test-case redpine

Um die XPR-Bereinigung / -Erkennung zu reproduzieren, öffnen Sie ein neues Terminal und führen Sie aus:

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtect

oder

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRemediator<module_name> # (z. B. XProtectRemediatorAdload)

Verifizierte Versionen

Autor

Koh M. Nakagawa (@tsunek0h) © FFRI Security, Inc. 2025

Lizenz

Apache Version 2.0