RinHit

RinHit - Reconnaissance-Framework für das macOS-Ökosystem. Sammelt Artefakte aus dem Apple-Ökosystem, um Zeitlinien von Netzwerkaktivität, geräteübergreifender Identität und physischer Standortkorrelation zu erstellen.

Dies ist das Open-Source-Aufklärungsmodul. Die Closed-Source-Swift-Payload (rinhit-agent) wird intern von unserem Redteam verwendet und ist nicht Teil dieses Repositorys.

Funktionen

• Wi-Fi-Netzwerk-Aufklärung - Parst com.apple.wifi.known-networks.plist (Legacy) oder nutzt networksetup (macOS 15+ Data Vault)
• Bluetooth-Geräte - Gekoppelte, zwischengespeicherte und verbundene Geräte aus com.apple.Bluetooth.plist
• USB-Geräteverlauf - Verbundene USB-Geräte über ioreg (IOKit) und system_profiler
• Korrelations-Engine - Artefaktübergreifende Analyse:
  • Geräteübergreifende Identität (iPhone-Hotspot + AirPods)
  • Reisemuster (Erkennung von Hotel-/Gast-WLAN)
  • Heim-/Büro-Fingerabdruck (Erkennung von ISP-Routern)
  • Zeitliche Sitzungs-Clusterung
• Offline-BSSID-Geolokalisierung - SQLite-Cache mit Wigle-CSV-Import
• Schweregrad-Bewertung - Cloud Sync = high, mobiler Hotspot = medium, usw.
• JSON-Ausgabe - Strukturierte Berichte für weiterführende Analysen

Installation

# Clone
git clone https://github.com/toxy4ny/rinhit.git
cd rinhit

# Build
go build -o rinhit ./cmd/rinhit

# Or install directly
go install ./cmd/rinhit

Verwendung

Verfügbare Collector auflisten

./rinhit list

Alle Collector ausführen (erfordert sudo für WLAN)

sudo ./rinhit scan -v

Bestimmte Collector ausführen

sudo ./rinhit scan -c wifi,bluetooth -v

Mit Korrelations-Engine ausführen

sudo ./rinhit scan --correlate -v

Bericht in Datei speichern

sudo ./rinhit scan -o report.json

Geolokalisierungs-Datenbank

# Import Wigle CSV dump
./rinhit geo import wigle-export.csv

# Lookup a BSSID
./rinhit geo lookup AA:BB:CC:DD:EE:FF

# Show cache stats
./rinhit geo stats

Beispielausgabe

{
  "generated_at": "2026-08-21T21:09:10Z",
  "hostname": "MacBook-Pro-test.local",
  "user": "root",
  "artifacts": [
    {
      "id": "wifi-ns-iPhone7",
      "collector": "wifi",
      "type": "wifi-network",
      "name": "iPhone7",
      "severity": "medium",
      "timestamp": "2026-08-21T14:09:10-07:00",
      "source": "networksetup",
      "data": {"ssid": "iPhone7", "source": "networksetup"},
      "tags": ["wifi", "network", "macos15-fallback", "mobile-hotspot", "cross-device"]
    }
  ],
  "summary": {
    "total_artifacts": 12,
    "by_severity": {"info": 11, "medium": 1},
    "by_collector": {"wifi": 12}
  },
  "data": {
    "correlations": [
      {
        "type": "mobile-hotspot",
        "confidence": 0.7,
        "description": "Mobile hotspot 'iPhone7' detected - indicates iPhone/iPad tethering usage",
        "artifact_ids": ["wifi-ns-iPhone7"],
        "tags": ["mobile-hotspot", "tethering", "cross-device"]
      }
    ]
  }
}

Architektur

rinhit/
├── cmd/rinhit/main.go          # CLI entrypoint
├── pkg/
│   ├── collector/              # Collector interface & registry
│   │   ├── wifi/               # Wi-Fi artifact collector
│   │   ├── bluetooth/          # Bluetooth device collector
│   │   └── usb/                # USB device collector
│   ├── model/                  # Artifact & Report structs
│   ├── parser/plist/           # Plist parsing with SIP fallback
│   ├── reporter/json/          # JSON reporter
│   ├── correlator/             # Cross-artifact correlation engine
│   └── geoloc/                 # Offline BSSID geolocation cache

Erweitern

Um einen neuen Collector hinzuzufügen, implementiere das Collector-Interface:

type Collector interface {
    Name() string
    Description() string
    Collect(ctx context.Context) ([]model.Artifact, error)
    RequiresRoot() bool
}

Registriere ihn in buildRegistry() in cmd/rinhit/main.go.

OPSEC-Hinweise

• RinHit arbeitet im Nur-Lese-Modus - keine Systemänderungen
• Unter macOS 15+ ist die WLAN-Plist durch Data Vault geschützt - RinHit fällt auf networksetup zurück (Living off the Land)
• BSSID-Geolokalisierung über öffentliche APIs kann den Betreiber identifizieren - nutze den offline SQLite-Cache für sensible Einsätze
• Nach Möglichkeit mit minimalen Berechtigungen ausführen - nur der Collector wifi erfordert sudo

Roadmap

• WLAN-Netzwerk-Aufklärung (plist + networksetup-Fallback)
• Gekoppelte/zwischengespeicherte Bluetooth-Geräte
• USB-Geräteverlauf (ioreg + system_profiler)
• Korrelations-Engine (geräteübergreifend, Reise, zeitlich)
• Offline-Wigle-CSV-Import + BSSID-Suche
• TCC-Datenbankanalyse
• Erweiterte Quarantäne-Attribute
• Spotlight-Metadatensuche
• Zeitlinie der Unified Logs
• SARIF-Ausgabeformat
• Menschenlesbare Markdown-Berichte

Lizenz

MIT - siehe LICENSE.

"So wie der Rüsselkäfer in Früchte bohrt, Eier legt und den Stängel durchtrennt, um seine Spuren zu verwischen, bohrt sich RinHit in das Apple-Ökosystem, pflanzt Persistenz und zersetzt Sicherheitsgrenzen von innen."