Suite de Pruebas de XProtect Remediator

Una colección de scripts y documentos para ayudar a futuras investigaciones sobre XProtect Remediator (XPR), presentada en Black Hat USA 2025

Acerca de Este Repositorio

Este repositorio contiene:

• Los scripts para crear archivos y procesos mínimos e inofensivos que reproducen la remediación de cada módulo de escaneo de XPR
• Los documentos que describen la lógica de remediación (o detección) de XPR obtenida mediante ingeniería inversa, utilizando el DSL de RemediationBuilder

Estos scripts y documentos fueron creados con fines de verificación de nuestra ingeniería inversa de XPR. Esperamos que este repositorio sea útil para los investigadores de seguridad que realicen análisis de XPR en el futuro y quieran comprender bajo qué condiciones ocurre la remediación.

NOTA: Ejecute estos scripts en un entorno virtualizado.

Preparación

Para revelar las entradas <private> en los Unified Logs, siga los pasos descritos en el siguiente artículo.

Unified Logs: Cómo Habilitar Datos Privados

Cómo Usar

Navegue a cd TestSuite/<module_name> y ejecute ./run.sh.

cd TestSuite/Adload
./run.sh --test-case service

Algunos casos de prueba requieren privilegios de root para ejecutarse. Sin embargo, están diseñados básicamente para ejecutarse con privilegios de usuario.

cd TestSuite/RedPine
sudo ./run.sh --test-case redpine

Para reproducir la remediación de XPR, abra una nueva terminal y ejecute

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtect

o

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRemediator<module_name> # (p. ej., XProtectRemediatorAdload)

Versiones Verificadas

Autor

Koh M. Nakagawa (@tsunek0h) © FFRI Security, Inc. 2025

Licencia

Apache versión 2.0