PoisonApple

これは、macOS上で様々な永続化メカニズムの手法を実行するためのコマンドラインツールです。このツールは、脅威ハンターがサイバー脅威エミュレーションの目的で使用するために設計されました。

インストール

以下のコマンドでインストールします。

$ pip3 install poisonapple --user

注: PoisonApple は Python 3.9 を使用して作成・テストされています。Python 3.6 以降で動作するはずです。

重要な注意事項

PoisonApple は macOS システムに変更を加えます。仮想マシン上でのみ PoisonApple を使用することをお勧めします。このツールを使用して追加された永続化メカニズムの手法は、簡単に削除 (-r) することもできますが、注意して使用してください！
注意: このツールは、一般的な AV / EDR / その他の macOS セキュリティ製品にアラートを発生させる可能性があります。
これらの手法がどのように機能するかを詳しく理解するには、Objective-See の Patrick Wardle による『Mac マルウェアの技術、第1巻: 分析 - 第0x2章: 永続化』を参照してください。素晴らしいリソースです。

使い方

PoisonApple のスイッチオプションを確認する (--help):

$ poisonapple --help
usage: poisonapple [-h] [-l] [-t TECHNIQUE] [-n NAME] [-c COMMAND] [-r]

Command-line tool to perform various persistence mechanism techniques on macOS.

optional arguments:
  -h, --help            show this help message and exit
  -l, --list            list available persistence mechanism techniques
  -t TECHNIQUE, --technique TECHNIQUE
                        persistence mechanism technique to use
  -n NAME, --name NAME  name for the file or label used for persistence
  -c COMMAND, --command COMMAND
                        command(s) to execute for persistence
  -r, --remove          remove persistence mechanism

利用可能な手法の一覧:

$ poisonapple --list
      ,       _______       __
  .-.:|.-.   |   _   .-----|__|-----.-----.-----.
.'        '. |.  |   |  |  |  |__ --|  |  |  |  |
'-."~".  .-' |.  ____|_____|__|_____|_____|__|__|
  } ` }  {   |:  |  _______             __
  } } }  {   |::.| |   _   .-----.-----|  |-----.
  } ` }  {   `---' |.  |   |  |  |  |  |  |  -__|
.-'"~"   '-.       |.  _   |   __|   __|__|_____|
'.        .'       |:  |   |__|  |__|
  '-_.._-'         |::.|:. |
                   `--- ---' v0.2.3

+--------------------+
| AtJob              |
+--------------------+
| Bashrc             |
+--------------------+
| Cron               |
+--------------------+
| CronRoot           |
+--------------------+
| Emond              |
+--------------------+
| Iterm2             |
+--------------------+
| LaunchAgent        |
+--------------------+
| LaunchAgentUser    |
+--------------------+
| LaunchDaemon       |
+--------------------+
| LoginHook          |
+--------------------+
| LoginHookUser      |
+--------------------+
| LoginItem          |
+--------------------+
| LogoutHook         |
+--------------------+
| LogoutHookUser     |
+--------------------+
| Periodic           |
+--------------------+
| Reopen             |
+--------------------+
| Zshrc              |
+--------------------+

永続化メカニズムを適用する:

$ poisonapple -t LaunchAgentUser -n testing
      ,       _______       __
  .-.:|.-.   |   _   .-----|__|-----.-----.-----.
.'        '. |.  |   |  |  |  |__ --|  |  |  |  |
'-."~".  .-' |.  ____|_____|__|_____|_____|__|__|
  } ` }  {   |:  |  _______             __
  } } }  {   |::.| |   _   .-----.-----|  |-----.
  } ` }  {   `---' |.  |   |  |  |  |  |  |  -__|
.-'"~"   '-.       |.  _   |   __|   __|__|_____|
'.        .'       |:  |   |__|  |__|
  '-_.._-'         |::.|:. |
                   `--- ---' v0.2.3

[+] Success! The persistence mechanism action was successful: LaunchAgentUser

コマンド (-c) が指定されない場合、デフォルトのトリガーコマンドが使用され、永続化メカニズムがトリガーされるたびにデスクトップ上のファイルに書き込みます:

$ cat ~/Desktop/PoisonApple-LaunchAgentUser
Triggered @ Tue Mar 23 17:46:02 CDT 2021 
Triggered @ Tue Mar 23 17:46:13 CDT 2021 
Triggered @ Tue Mar 23 17:46:23 CDT 2021 
Triggered @ Tue Mar 23 17:46:33 CDT 2021 
Triggered @ Tue Mar 23 17:46:43 CDT 2021 
Triggered @ Tue Mar 23 17:46:53 CDT 2021 
Triggered @ Tue Mar 23 17:47:03 CDT 2021 
Triggered @ Tue Mar 23 17:47:13 CDT 2021 
Triggered @ Tue Mar 23 17:48:05 CDT 2021 
Triggered @ Tue Mar 23 17:48:15 CDT 2021

永続化メカニズムを削除する:

$ poisonapple -t LaunchAgentUser -n testing -r
...

カスタムコマンドを使用する:

$ poisonapple -t LaunchAgentUser -n foo -c "echo foo >> /Users/user/Desktop/foo"
...

PoisonApple

人気

PoisonApple

インストール

重要な注意事項

使い方