RinHit

RinHit - Framework de reconnaissance de l'écosystème macOS. Collecte des artefacts de l'écosystème Apple pour construire des chronologies d'activité réseau, d'identité multi-appareils et de corrélation de localisation physique.

Ceci est le module de reconnaissance open-source. La charge utile Swift propriétaire (rinhit-agent) est utilisée en interne par notre redteam et ne fait pas partie de ce dépôt.

Fonctionnalités

• Reconnaissance Wi-Fi - Analyse com.apple.wifi.known-networks.plist (hérité) ou utilise networksetup (Data Vault sur macOS 15+)
• Périphériques Bluetooth - Périphériques appariés, mis en cache et connectés depuis com.apple.Bluetooth.plist
• Historique des périphériques USB - Périphériques USB connectés via ioreg (IOKit) et system_profiler
• Moteur de corrélation - Analyse inter-artefacts :
  • Identité multi-appareils (point d'accès iPhone + AirPods)
  • Modèles de déplacement (détection Wi-Fi hôtel/invité)
  • Empreinte domicile/bureau (détection routeur FAI)
  • Regroupement temporel de sessions
• Géolocalisation BSSID hors ligne - Cache SQLite avec import CSV Wigle
• Score de gravité - Synchronisation cloud = high, point d'accès mobile = medium, etc.
• Sortie JSON - Rapports structurés pour analyse ultérieure

Installation

# Clone
git clone https://github.com/toxy4ny/rinhit.git
cd rinhit

# Build
go build -o rinhit ./cmd/rinhit

# Or install directly
go install ./cmd/rinhit

Utilisation

Lister les collecteurs disponibles

./rinhit list

Exécuter tous les collecteurs (nécessite sudo pour le Wi-Fi)

sudo ./rinhit scan -v

Exécuter des collecteurs spécifiques

sudo ./rinhit scan -c wifi,bluetooth -v

Exécuter avec le moteur de corrélation

sudo ./rinhit scan --correlate -v

Enregistrer le rapport dans un fichier

sudo ./rinhit scan -o report.json

Base de données de géolocalisation

# Import Wigle CSV dump
./rinhit geo import wigle-export.csv

# Lookup a BSSID
./rinhit geo lookup AA:BB:CC:DD:EE:FF

# Show cache stats
./rinhit geo stats

Exemple de sortie

{
  "generated_at": "2026-08-21T21:09:10Z",
  "hostname": "MacBook-Pro-test.local",
  "user": "root",
  "artifacts": [
    {
      "id": "wifi-ns-iPhone7",
      "collector": "wifi",
      "type": "wifi-network",
      "name": "iPhone7",
      "severity": "medium",
      "timestamp": "2026-08-21T14:09:10-07:00",
      "source": "networksetup",
      "data": {"ssid": "iPhone7", "source": "networksetup"},
      "tags": ["wifi", "network", "macos15-fallback", "mobile-hotspot", "cross-device"]
    }
  ],
  "summary": {
    "total_artifacts": 12,
    "by_severity": {"info": 11, "medium": 1},
    "by_collector": {"wifi": 12}
  },
  "data": {
    "correlations": [
      {
        "type": "mobile-hotspot",
        "confidence": 0.7,
        "description": "Mobile hotspot 'iPhone7' detected - indicates iPhone/iPad tethering usage",
        "artifact_ids": ["wifi-ns-iPhone7"],
        "tags": ["mobile-hotspot", "tethering", "cross-device"]
      }
    ]
  }
}

Architecture

rinhit/
├── cmd/rinhit/main.go          # CLI entrypoint
├── pkg/
│   ├── collector/              # Collector interface & registry
│   │   ├── wifi/               # Wi-Fi artifact collector
│   │   ├── bluetooth/          # Bluetooth device collector
│   │   └── usb/                # USB device collector
│   ├── model/                  # Artifact & Report structs
│   ├── parser/plist/           # Plist parsing with SIP fallback
│   ├── reporter/json/          # JSON reporter
│   ├── correlator/             # Cross-artifact correlation engine
│   └── geoloc/                 # Offline BSSID geolocation cache

Extension

Pour ajouter un nouveau collecteur, implémentez l'interface Collector :

type Collector interface {
    Name() string
    Description() string
    Collect(ctx context.Context) ([]model.Artifact, error)
    RequiresRoot() bool
}

Enregistrez-le dans buildRegistry() dans cmd/rinhit/main.go.

Notes OPSEC

• RinHit fonctionne en mode lecture seule - aucune modification système
• Sur macOS 15+, le plist Wi-Fi est protégé par Data Vault - RinHit utilise networksetup en secours (en se servant des outils natifs)
• La géolocalisation BSSID via des API publiques peut identifier l'opérateur - utilisez le cache SQLite hors ligne pour les engagements sensibles
• Exécutez avec des privilèges minimaux si possible - seul le collecteur wifi nécessite sudo

Feuille de route

• Reconnaissance des réseaux Wi-Fi (plist + repli networksetup)
• Périphériques Bluetooth appariés/mis en cache
• Historique des périphériques USB (ioreg + system_profiler)
• Moteur de corrélation (multi-appareils, voyages, temporel)
• Import CSV Wigle hors ligne + recherche BSSID
• Analyse de la base TCC
• Attributs étendus de quarantaine
• Recherche de métadonnées Spotlight
• Chronologie des journaux unifiés
• Format de sortie SARIF
• Rapports Markdown lisibles par l'humain

Licence

MIT - voir LICENSE.

"Tout comme le charançon perce le fruit, y pond ses œufs et sectionne la tige pour couvrir ses traces, RinHit fore dans l'écosystème Apple, installe la persistance et érode les frontières de sécurité de l'intérieur."