Suite di test di XProtect Remediator

Una raccolta di script e documenti per aiutare la futura ricerca su XProtect Remediator (XPR), presentata al Black Hat USA 2025

Informazioni su questo repository

Questo repository contiene:

• Gli script per creare file e processi minimi innocui che riproducono la remediation di ciascun modulo di scansione di XPR
• I documenti che descrivono la logica di remediation (o rilevamento) di XPR reverse-engineered utilizzando il DSL RemediationBuilder

Questi script e documenti sono stati creati a scopo di verifica del nostro reverse engineering di XPR. Speriamo che questo repository sia utile per i ricercatori di sicurezza che in futuro condurranno analisi di XPR e vogliano capire in quali condizioni si verifica la remediation.

NOTA: Eseguire questi script in un ambiente virtualizzato.

Preparazione

Per rivelare le voci <private> nei Registri Unificati, seguire i passaggi descritti nell'articolo sottostante.

Registri Unificati: Come abilitare i dati privati

Come usare

Spostarsi in cd TestSuite/<module_name> ed eseguire ./run.sh.

cd TestSuite/Adload
./run.sh --test-case service

Alcuni casi di test richiedono privilegi di root per essere eseguiti. Tuttavia, sono fondamentalmente progettati per essere eseguiti con privilegi utente.

cd TestSuite/RedPine
sudo ./run.sh --test-case redpine

Per riprodurre la remediation di XPR, aprire un nuovo terminale ed eseguire

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtect

o

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRemediator<module_name> # (ad es., XProtectRemediatorAdload)

Versioni verificate

Autore

Koh M. Nakagawa (@tsunek0h) © FFRI Security, Inc. 2025

Licenza

Apache versione 2.0