machscope

Explorador de IPC de macOS, launchd, Mach-O y relaciones de confianza — herramienta forense nativa de terminal sin dependencias

Los internals de macOS son elegantes, pero la verdad está dispersa.

Para entender un proceso sospechoso, a menudo terminas saltando entre:

• ps
• lsof
• launchctl
• codesign
• otool
• Info.plist del bundle
• plists de launchd
• tus propias notas y suposiciones

machscope reduce ese flujo de trabajo a una única herramienta de terminal.

Está pensado para:

• triaje de seguridad
• caza de malware
• investigación de persistencia
• exploración de servicios launchd y Mach
• depurar comportamientos extraños de macOS
• entender cómo está realmente ensamblada una app

Qué hace

Dado un PID, ruta, etiqueta de launchd o nombre de servicio Mach, machscope puede correlacionar:

• metadatos del proceso desde ps
• ruta del ejecutable y contexto de archivos abiertos desde lsof
• estado de launchd y pistas de etiquetas desde launchctl
• metadatos del plist de launchd y MachServices declarados
• identidad del bundle y servicios .xpc embebidos
• identificador de firma de código, team ID, cadena de autoridad y pistas de runtime
• datos de entitlements desde codesign
• cabeceras Mach-O, dylibs enlazados, load commands y rpaths desde otool
• nodos / aristas del grafo para exportación posterior
• hallazgos de confianza con evidencia

No pretende observar todas las relaciones XPC vivas. Algunas relaciones están declaradas, no observadas. Esa honestidad es intencional.

¿Por qué machscope y no las herramientas macOS puras?

• ps muestra el proceso, no la cadena de propiedad
• launchctl muestra el trabajo, no el contexto completo del binario/bundle/confianza
• codesign muestra la identidad, no las relaciones en runtime
• otool muestra el enlace, no la exposición de servicios launchd o Mach
• machscope correlaciona todo ello en una sola pasada

Características

• Python sin dependencias
  • utiliza solo la biblioteca estándar de Python
• Nativo de terminal
  • salida legible para humanos primero, JSON cuando lo quieras
• Resolución de objetivos flexible
  • inspecciona un PID, ejecutable, app bundle, etiqueta de launchd o servicio Mach
• Pivotes del resolvedor --follow
  • los objetivos bundle se resuelven a su ejecutable
  • los servicios Mach se resuelven al trabajo de launchd y ejecutable que los declara
  • las etiquetas de launchd pivotean al PID vivo cuando está presente
• Puntuación de confianza/anomalías
  • saca a la superficie rarezas sin pretender que toda rareza sea malware
• Modelo de grafo simple
  • graph.nodes y graph.edges están diseñados para futuros flujos de trabajo TUI, renderer o diff

Comandos

Ejemplos

Inspeccionar un proceso vivo

Inspeccionar una app o binario

Inspeccionar un trabajo de launchd

Inspeccionar un servicio Mach

Escanear rarezas

Explorar servicios declarados

Ejemplo de salida

Salida JSON

inspect --json devuelve un objeto estructurado diseñado para scripting y futuros trabajos de UI.

Estructura de nivel superior:

• target
• target_resolution
• process
• binary
• bundle
• launchd
• trust
• graph.nodes
• graph.edges

El grafo es intencionadamente simple para poder alimentar:

• una futura TUI
• un renderer
• un modo diff
• otras herramientas

Cómo funciona --follow

--follow es donde machscope empieza a sentirse menos como un volcador de metadatos y más como un explorador.

Añade pivotes del resolvedor como:

• objetivo bundle → ejecutable
• servicio Mach → trabajo de launchd declarante → ejecutable
• etiqueta de launchd → estado de launchctl print → PID vivo cuando esté disponible

Eso importa porque los artefactos de macOS más interesantes a menudo no son la cosa literal que escribiste, sino lo que hay detrás.

Hallazgos de confianza

machscope incluye una capa simple de confianza/anomalías.

Ejemplos de cosas que puede sacar a la superficie:

• binarios faltantes detrás de entradas de persistencia
• objetivos de ejecución escribibles por el usuario
• entitlements sensibles en código que no es de Apple
• discrepancias entre etiqueta de launchd e identidad del bundle
• sufijos de launchd extraños como .reloaded
• rutas con aspecto de sistema que no validan como se espera

Esto no es un motor de veredictos de malware. Es una forma de sacar pistas a la superficie, reducir puntos ciegos y facilitar la interrogación de cadenas sospechosas.

Decisiones de diseño

Sin dependencias por diseño

La primera versión usa intencionadamente:

• biblioteca estándar de Python
• solo herramientas nativas de macOS

Las herramientas envueltas incluyen:

• ps
• lsof
• launchctl
• codesign
• otool
• file

Eso mantiene la herramienta fácil de clonar, inspeccionar y ejecutar en un sistema más o menos estándar.

Honesto sobre la visibilidad

Algunas relaciones están declaradas, no observadas.

Por ejemplo:

• los plists de launchd pueden declarar servicios Mach
• los bundles pueden revelar servicios XPC embebidos
• pero las herramientas públicas no siempre exponen limpiamente las relaciones vivas cliente/servidor XPC

machscope prefiere ser explícito antes que fingir certeza.

Requisitos

• macOS
• Python 3
• acceso a herramientas nativas como ps, lsof, launchctl, codesign, otool y file

Privilegios

Ejecútalo primero como usuario normal.

Eso suele ser suficiente para obtener respuestas útiles.

Sin privilegios elevados, algunos detalles pueden ser parciales, especialmente en torno a:

• lsof
• launchctl
• detalles de firma de código en ciertos objetivos

Si escalas privilegios, hazlo deliberadamente.

Casos de uso recomendados

• «¿Qué es exactamente lo que posee este servicio Mach?»
• «¿Es este trabajo de launchd normal, obsoleto o roto?»
• «¿Por qué este proceso tiene como padre a launchd pero no está donde esperaba?»
• «¿Qué entitlements tiene realmente este helper?»
• «¿Está este app bundle ocultando servicios XPC embebidos?»
• «¿Por qué este proceso resulta sospechoso?»

Objetivos no perseguidos

machscope no intenta ser:

• un EDR completo
• un sistema de telemetría de kernel en vivo
• un observador XPC perfecto
• una app GUI
• un framework gigante

Es una herramienta local afilada para hacer legibles los internals de macOS.

Estado

En fase temprana, pero ya útil.

La salida actual y el modelo de grafo están deliberadamente formados para que las versiones futuras puedan añadir:

• exploración TUI
• modo diff
• integraciones de exportación/renderizado
• reglas de confianza más ricas
• mejor recorrido del grafo entre objetivos

--