Kemon

Un framework open source basato su callback Pre e Post per il monitoraggio del kernel macOS.

[ Breaking News - 28/08/2019 ]
Note di rilascio di macOS Catalina 10.15 Beta 7
https://developer.apple.com/documentation/macos_release_notes/macos_catalina_10_15_beta_7_release_notes

Endpoint Security

• L'API kauth è stata rimossa. (50419013)

/* Dopo i test, ho scoperto che queste interfacce Kauth non sono state realmente rimosse e Kemon funziona ancora. Ma penso che questa nota di rilascio significhi che la porta verso il kernel macOS si sta chiudendo. (28/08/2019) */

Cos'è Kemon?

Kemon è un framework open source basato su callback Pre e Post [1] per il monitoraggio del kernel macOS [2]. Con la potenza di Kemon, possiamo implementare facilmente il monitoraggio della comunicazione XPC/IPC [3], il filtraggio delle policy di Mandatory Access Control (MAC), il traffico di rete e il firewall delle estensioni del kernel, ecc. In generale, dal punto di vista di un attaccante, questo framework può aiutare a realizzare un Rootkit più potente. Dal punto di vista della difesa, Kemon può aiutare a costruire capacità di monitoraggio più granulari.

Ho anche implementato diversi fuzzer del kernel [4] [7] basati su questo framework, che mi hanno aiutato a trovare molte vulnerabilità del kernel, come ad esempio:

1. GPU basata su Apple Silicon AGX, IOMobileFrameBuffer e Display Co-processor (DCP) [10]:
   CVE-2024-40854, CVE-2024-44197 [33], CVE-2024-44199 [34], CVE-2025-24106 [35], CVE-2025-24111 [38], CVE-2025-24257 [36], CVE-2025-24273 [37], CVE-2025-43326 [39] [40], ecc.

2. GPU Apple basate su AMD e Intel:
   CVE-2017-7155, CVE-2017-7163, CVE-2017-13883 [11], CVE-2018-4350, CVE-2018-4396, CVE-2018-4418 [12], CVE-2019-8807 [13], CVE-2022-22631, CVE-2022-22661, CVE-2022-46706 [23], ecc.

3. Wi-Fi IO80211FamilyV1/V2 [5] [9]:
   CVE-2020-9832, CVE-2020-9833, CVE-2020-9834 [15], CVE-2020-9899 [16], CVE-2020-10013 [17] [18] [19], CVE-2022-26761 [24], CVE-2022-26762 [25], CVE-2022-32837, CVE-2022-32847, CVE-2022-32860 [26] [27] [28], CVE-2022-32925, CVE-2022-46709 [29] [30], CVE-2023-38610 [31] [32], CVE-2025-43373 [41], CVE-2026-20621 [42] [43], ecc.

4. Interfaccia Host Controller Bluetooth (HCI) [6]:
   CVE-2020-3892, CVE-2020-3893, CVE-2020-3905, CVE-2020-3907, CVE-2020-3908, CVE-2020-3912, CVE-2020-9779, CVE-2020-9853 [14], CVE-2020-9831 [15], CVE-2020-9928, CVE-2020-9929 [16], ecc.

5. Meccanismo di mappatura della memoria del kernel [8]:
   CVE-2020-27914, CVE-2020-27915, CVE-2020-27936 [20] [21], CVE-2021-30678 [22], ecc.

Funzionalità supportate

Le funzionalità di Kemon includono:

• monitoraggio delle operazioni sui file
• monitoraggio della creazione di processi
• monitoraggio di librerie dinamiche ed estensioni del kernel
• monitoraggio del traffico di rete
• monitoraggio delle policy di Mandatory Access Control (MAC), ecc.

Inoltre, il progetto Kemon può anche estendere le interfacce di monitoraggio basate su callback Pre e Post per qualsiasi funzione del kernel macOS.

Per iniziare

Come compilare l'estensione del kernel Kemon

Si prega di utilizzare il progetto Xcode o il makefile per compilare il driver kext di Kemon

Come utilizzare l'estensione del kernel Kemon

Si prega di disattivare il controllo di System Integrity Protection (SIP) di macOS se non si dispone di un certificato del kernel valido
Usare il comando "sudo chown -R root:wheel kemon.kext" per cambiare il proprietario dell'estensione del kernel Kemon
Usare il comando "sudo kextload kemon.kext" per installare l'estensione del kernel Kemon
Usare il comando "sudo kextunload kemon.kext" per disinstallare l'estensione del kernel Kemon

Contribuire

Benvenuti a contribuire creando issue o inviando pull request. Consultare la Guida per i contributori per le linee guida.

Licenza

Kemon è concesso in licenza secondo i termini della Apache License 2.0. Vedere il file LICENSE.

Riferimenti

1. https://patents.google.com/patent/US11106491B2
2. https://www.blackhat.com/us-18/arsenal/schedule/#kemon-an-open-source-pre-and-post-callback-based-framework-for-macos-kernel-monitoring-12085
3. https://www.blackhat.com/us-19/arsenal/schedule/#ksbox-a-fine-grained-macos-malware-sandbox-15059
4. https://www.defcon.org/html/defcon-26/dc-26-speakers.html#Wang
5. https://www.blackhat.com/us-20/briefings/schedule/index.html#dive-into-apple-iofamilyv-20023
6. https://www.blackhat.com/eu-20/briefings/schedule/index.html#please-make-a-dentist-appointment-asap-attacking-iobluetoothfamily-hci-and-vendor-specific-commands-21155
7. https://www.blackhat.com/us-20/arsenal/schedule/index.html#macos-bluetooth-analysis-suite-mbas-19886
8. https://www.blackhat.com/asia-21/briefings/schedule/index.html#racing-the-dark-a-new-tocttou-story-from-apples-core-22214
9. https://www.blackhat.com/us-22/briefings/schedule/#dive-into-apple-iofamily-vol--27728
10. https://www.blackhat.com/us-25/briefings/schedule/index.html#dead-pixel-detected---a-security-assessment-of-apples-graphics-subsystem-45392
11. https://support.apple.com/en-us/HT208331
12. https://support.apple.com/en-us/HT209193