Introduzione a macOS - XProtect

Continuando la mia serie di articoli sull'introduzione a macOS, ho deciso di dedicare un breve articolo a XProtect.

Cos'è XProtect?

XProtect è il sistema antivirus e di firme malware integrato di Apple per macOS.
Opera come parte del XProtectService, che analizza applicazioni e altri contenuti eseguibili alla ricerca di firme malware note.
XProtect funziona in background e viene aggiornato silenziosamente da Apple tramite il meccanismo XProtectRemediator (ne parleremo più avanti).
Ha 3 funzioni principali:

• Rilevamento basato su firme – Analizza i file confrontandoli con un database di firme malware note.
• Rilevamento comportamentale (XProtect Remediator) – Introdotto in macOS Monterey, consente a XProtect di analizzare e rimuovere proattivamente il malware basandosi su comportamenti sospetti piuttosto che su semplici firme statiche.
• Blocco in tempo reale – XProtect impedisce l'esecuzione di software malevolo noto prima che possa essere eseguito.

XProtect tradizionale

La directory /Library/Apple/System/Library/CoreServices/XProtect.bundle è il bundle principale che contiene la configurazione di XProtect e le definizioni delle firme.
Si tratta di una directory di sistema di sola lettura, aggiornata silenziosamente da Apple tramite gli aggiornamenti di XProtect.
Al suo interno possiamo trovare alcuni file di interesse, tutti aggiornati periodicamente da Apple e protetti da System Integrity Protection (SIP).

XProtect.plist

Il file /Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XProtect.plist memorizza le firme malware utilizzate da XProtect per rilevare le minacce note.
Contiene voci che mappano famiglie di malware a specifiche regole di rilevamento, inclusi hash e pattern nei nomi dei file.
Ecco un esempio di una famiglia di malware - Bundalore:

<dict>
        <key>Description</key>
        <string>OSX.Bundlore.D</string>
        <key>LaunchServices</key>
        <dict>
                <key>LSItemContentType</key>
                <string>com.apple.application-bundle</string>
        </dict>
        <key>Matches</key>
        <array>
                <dict>
                        <key>MatchFile</key>
                        <dict>
                                <key>NSURLTypeIdentifierKey</key>
                                <string>com.apple.applescript.script</string>
                        </dict>
                        <key>MatchType</key>
                        <string>Match</string>
                        <key>Pattern</key>
                        <string>46617364554153</string>
                </dict>
                <dict>
                        <key>MatchFile</key>
                        <dict>
                                <key>NSURLTypeIdentifierKey</key>
                                <string>com.apple.applescript.script</string>
                        </dict>
                        <key>MatchType</key>
                        <string>Match</string>
                        <key>Pattern</key>
                        <string>20006500630068006F002000</string>
                </dict>
                <dict>
                        <key>MatchFile</key>
                        <dict>
                                <key>NSURLTypeIdentifierKey</key>
                                <string>com.apple.applescript.script</string>
                        </dict>
                        <key>MatchType</key>
                        <string>Match</string>
                        <key>Pattern</key>
                        <string>20007C0020006F00700065006E00730073006C00200065006E00630020002D006100650073002D003200350036002D0063006600620020002D007000610073007300200070006100730073003A</string>
                </dict>
                <dict>
                        <key>MatchFile</key>
                        <dict>
                                <key>NSURLTypeIdentifierKey</key>
                                <string>com.apple.applescript.script</string>
                        </dict>
                        <key>MatchType</key>
                        <string>Match</string>
                        <key>Pattern</key>
                        <string>002D00730061006C00740020002D00410020002D00610020002D00640020007C002000620061007300680020002D0073</string>
                </dict>
        </array>
</dict>

È abbastanza leggibile dall'uomo; l'unica parte degna di nota è che l'argomento string in ogni corrispondenza è una rappresentazione esadecimale, ad esempio 002D00730061006C00740020002D00410020002D00610020002D00640020007C002000620061007300680020002D0073 corrisponde a -salt -A -a -d | bash -s.
Questo, ovviamente, è una miniera d'oro per gli autori di malware, che sanno esattamente quali pattern evitare.

XProtect.meta.plist

Il file /Library/Apple/System/Library/CoreServices/XProtect.bundle/XProtect.meta.plist è un file di metadati che definisce regole aggiuntive per XProtect, incluse le policy di applicazione e le informazioni sulla versione.
Specifica quali versioni di macOS applicano determinate regole di XProtect e le azioni intraprese al momento del rilevamento, oltre alle blacklist per i plugin.
Ecco un esempio:

<key>JavaWebComponentVersionMinimum</key>
<string>1.6.0_45-b06-451</string>
<key>PlugInBlacklist</key>
<dict>
        <key>10</key>
        <dict>
                <key>com.apple.java.JavaAppletPlugin</key>
                <dict>
                        <key>MinimumPlugInBundleVersion</key>
                        <string>14.8.0</string>
                        <key>PlugInUpdateAvailable</key>
                        <true/>
                </dict>
                <key>com.apple.java.JavaPlugin2_NPAPI</key>
                <dict>
                        <key>MinimumPlugInBundleVersion</key>
                        <string>14.8.0</string>
                        <key>PlugInUpdateAvailable</key>
                        <true/>
                </dict>
                <key>com.macromedia.Flash Player ESR.plugin</key>
                <dict>
                        <key>MinimumPlugInBundleVersion</key>
                        <string>18.0.0.382</string>
                        <key>PlugInUpdateAvailable</key>
                        <true/>
                </dict>
                <key>com.macromedia.Flash Player.plugin</key>
                <dict>
                        <key>MinimumPlugInBundleVersion</key>
                        <string>32.0.0.101</string>
                        <key>PlugInUpdateAvailable</key>
                        <true/>
                </dict>
                <key>com.microsoft.SilverlightPlugin</key>
                <dict>
                        <key>MinimumPlugInBundleVersion</key>
                        <string>5.1.41212.0</string>
                        <key>PlugInUpdateAvailable</key>
                        <true/>
                </dict>
                <key>com.oracle.java.JavaAppletPlugin</key>
                <dict>
                        <key>MinimumPlugInBundleVersion</key>
                        <string>1.8.51.16</string>
                        <key>PlugInUpdateAvailable</key>
                        <true/>
                </dict>
        </dict>
</dict>

Come puoi vedere, contengono, ad esempio, informazioni sulla versione per i plugin "in blacklist".

XProtect.yara

Nelle versioni recenti, XProtect sembra aver iniziato a supportare YARA.
Il file /Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XProtect.yara contiene diverse regole YARA in formato testuale; ecco un breve esempio tratto da esso: