RinHit

RinHit - framework de reconocimiento del ecosistema macOS. Recopila artefactos del ecosistema Apple para construir líneas temporales de actividad de red, identidad entre dispositivos y correlación de ubicación física.

Este es el módulo de reconocimiento de código abierto. El payload Swift de código cerrado (rinhit-agent) es utilizado internamente por nuestro redteam y no forma parte de este repositorio.

Características

• Reconocimiento de redes Wi-Fi - Analiza com.apple.wifi.known-networks.plist (legacy) o usa networksetup (Data Vault en macOS 15+)
• Dispositivos Bluetooth - Dispositivos emparejados, en caché y conectados desde com.apple.Bluetooth.plist
• Historial de dispositivos USB - Dispositivos USB conectados mediante ioreg (IOKit) y system_profiler
• Motor de correlación - Análisis entre artefactos:
  • Identidad entre dispositivos (hotspot de iPhone + AirPods)
  • Patrones de viaje (detección de Wi-Fi de hotel/huéspedes)
  • Huella de hogar/oficina (detección de router de ISP)
  • Agrupación temporal de sesiones
• Geolocalización BSSID sin conexión - Caché SQLite con importación de CSV de Wigle
• Puntuación de severidad - Cloud Sync = high, hotspot móvil = medium, etc.
• Salida JSON - Informes estructurados para análisis posteriores

Instalación

# Clone
git clone https://github.com/toxy4ny/rinhit.git
cd rinhit

# Build
go build -o rinhit ./cmd/rinhit

# Or install directly
go install ./cmd/rinhit

Uso

Listar los recolectores disponibles

./rinhit list

Ejecutar todos los recolectores (requiere sudo para Wi-Fi)

sudo ./rinhit scan -v

Ejecutar recolectores específicos

sudo ./rinhit scan -c wifi,bluetooth -v

Ejecutar con el motor de correlación

sudo ./rinhit scan --correlate -v

Guardar informe en un archivo

sudo ./rinhit scan -o report.json

Base de datos de geolocalización

# Import Wigle CSV dump
./rinhit geo import wigle-export.csv

# Lookup a BSSID
./rinhit geo lookup AA:BB:CC:DD:EE:FF

# Show cache stats
./rinhit geo stats

Ejemplo de salida

{
  "generated_at": "2026-08-21T21:09:10Z",
  "hostname": "MacBook-Pro-test.local",
  "user": "root",
  "artifacts": [
    {
      "id": "wifi-ns-iPhone7",
      "collector": "wifi",
      "type": "wifi-network",
      "name": "iPhone7",
      "severity": "medium",
      "timestamp": "2026-08-21T14:09:10-07:00",
      "source": "networksetup",
      "data": {"ssid": "iPhone7", "source": "networksetup"},
      "tags": ["wifi", "network", "macos15-fallback", "mobile-hotspot", "cross-device"]
    }
  ],
  "summary": {
    "total_artifacts": 12,
    "by_severity": {"info": 11, "medium": 1},
    "by_collector": {"wifi": 12}
  },
  "data": {
    "correlations": [
      {
        "type": "mobile-hotspot",
        "confidence": 0.7,
        "description": "Mobile hotspot 'iPhone7' detected - indicates iPhone/iPad tethering usage",
        "artifact_ids": ["wifi-ns-iPhone7"],
        "tags": ["mobile-hotspot", "tethering", "cross-device"]
      }
    ]
  }
}

Arquitectura

rinhit/
├── cmd/rinhit/main.go          # CLI entrypoint
├── pkg/
│   ├── collector/              # Collector interface & registry
│   │   ├── wifi/               # Wi-Fi artifact collector
│   │   ├── bluetooth/          # Bluetooth device collector
│   │   └── usb/                # USB device collector
│   ├── model/                  # Artifact & Report structs
│   ├── parser/plist/           # Plist parsing with SIP fallback
│   ├── reporter/json/          # JSON reporter
│   ├── correlator/             # Cross-artifact correlation engine
│   └── geoloc/                 # Offline BSSID geolocation cache

Extensión

Para añadir un nuevo recolector, implementa la interfaz Collector:

type Collector interface {
    Name() string
    Description() string
    Collect(ctx context.Context) ([]model.Artifact, error)
    RequiresRoot() bool
}

Regístralo en buildRegistry() en cmd/rinhit/main.go.

Notas de OPSEC

• RinHit opera en modo de solo lectura - sin modificaciones del sistema
• En macOS 15+, el plist de Wi-Fi está protegido por Data Vault - RinHit recurre a networksetup (living off the land)
• La geolocalización BSSID mediante APIs públicas puede identificar al operador - usa la caché SQLite sin conexión para operaciones sensibles
• Ejecuta con privilegios mínimos siempre que sea posible - solo el recolector wifi requiere sudo

Hoja de ruta

• Reconocimiento de redes Wi-Fi (plist + respaldo de networksetup)
• Dispositivos Bluetooth emparejados/en caché
• Historial de dispositivos USB (ioreg + system_profiler)
• Motor de correlación (entre dispositivos, viajes, temporal)
• Importación de CSV de Wigle sin conexión + consulta BSSID
• Análisis de la base de datos TCC
• Atributos extendidos de cuarentena
• Búsqueda de metadatos de Spotlight
• Línea temporal de Unified Logs
• Formato de salida SARIF
• Informes legibles en Markdown

Licencia

MIT - ver LICENSE.

"Igual que el gorgojo perfora la fruta, pone huevos y corta el tallo para cubrir sus huellas, RinHit perfora el ecosistema Apple, instala persistencia y erosiona los límites de seguridad desde dentro."