Kemon

macOSカーネル監視のためのオープンソースのPre/Postコールバックベースフレームワーク

[ 速報 - 2019年8月28日 ]
macOS Catalina 10.15 Beta 7 リリースノート
https://developer.apple.com/documentation/macos_release_notes/macos_catalina_10_15_beta_7_release_notes

エンドポイントセキュリティ

• kauth APIが削除されました。(50419013)

/* テストの結果、これらのKauthインターフェースは実際には削除されておらず、Kemonは引き続き動作することがわかりました。ただし、このリリースノートはmacOSカーネルへの扉が閉じつつあることを意味していると思います。(2019年8月28日) */

Kemonとは？

Kemonは、macOSカーネル監視[2]のためのオープンソースのPre/Postコールバックベースのフレームワーク[1]です。Kemonの力を借りれば、XPC/IPC通信監視[3]、強制アクセス制御（MAC）ポリシーフィルタリング、ネットワークトラフィックとカーネル拡張ファイアウォールなどを簡単に実装できます。一般的に、攻撃者の視点からは、このフレームワークはより強力なRootkitを実現するのに役立ちます。防御の視点からは、Kemonはより細かい監視機能を構築するのに役立ちます。

また、このフレームワークに基づいていくつかのカーネルファザー[4][7]を実装し、多くのカーネル脆弱性を発見するのに役立ちました。例えば：

1. Apple Silicon AGXベースのGPU、IOMobileFrameBufferおよびDisplay Co-processor (DCP) [10]:
   CVE-2024-40854, CVE-2024-44197 [33], CVE-2024-44199 [34], CVE-2025-24106 [35], CVE-2025-24111 [38], CVE-2025-24257 [36], CVE-2025-24273 [37], CVE-2025-43326 [39] [40], etc.

2. AppleのAMDおよびIntelベースのGPU:
   CVE-2017-7155, CVE-2017-7163, CVE-2017-13883 [11], CVE-2018-4350, CVE-2018-4396, CVE-2018-4418 [12], CVE-2019-8807 [13], CVE-2022-22631, CVE-2022-22661, CVE-2022-46706 [23], etc.

3. Wi-Fi IO80211FamilyV1/V2 [5] [9]:
   CVE-2020-9832, CVE-2020-9833, CVE-2020-9834 [15], CVE-2020-9899 [16], CVE-2020-10013 [17] [18] [19], CVE-2022-26761 [24], CVE-2022-26762 [25], CVE-2022-32837, CVE-2022-32847, CVE-2022-32860 [26] [27] [28], CVE-2022-32925, CVE-2022-46709 [29] [30], CVE-2023-38610 [31] [32], CVE-2025-43373 [41], CVE-2026-20621 [42] [43], etc.

4. Bluetooth Host Controller Interface (HCI) [6]:
   CVE-2020-3892, CVE-2020-3893, CVE-2020-3905, CVE-2020-3907, CVE-2020-3908, CVE-2020-3912, CVE-2020-9779, CVE-2020-9853 [14], CVE-2020-9831 [15], CVE-2020-9928, CVE-2020-9929 [16], etc.

5. カーネルメモリマッピング機構 [8]:
   CVE-2020-27914, CVE-2020-27915, CVE-2020-27936 [20] [21], CVE-2021-30678 [22], etc.

サポートされている機能

Kemonの機能は以下を含みます：

• ファイル操作監視
• プロセス作成監視
• 動的ライブラリおよびカーネル拡張の監視
• ネットワークトラフィック監視
• 強制アクセス制御（MAC）ポリシー監視など

さらに、Kemonプロジェクトは、任意のmacOSカーネル関数に対してPre/Postコールバックベースの監視インターフェースを拡張することもできます。

はじめに

Kemonカーネル拡張のビルド方法

XcodeプロジェクトまたはMakefileを使用してKemon kextドライバをビルドしてください。

Kemonカーネル拡張の使用方法

有効なカーネル証明書をお持ちでない場合は、macOS System Integrity Protection (SIP) チェックを無効にしてください。
コマンド "sudo chown -R root:wheel kemon.kext" を使用して、Kemonカーネル拡張の所有者を変更します。
コマンド "sudo kextload kemon.kext" を使用して、Kemonカーネル拡張をインストールします。
コマンド "sudo kextunload kemon.kext" を使用して、Kemonカーネル拡張をアンインストールします。

貢献

Issueを作成したり、プルリクエストを送信して貢献してください。ガイドラインについてはContributing Guideを参照してください。

ライセンス

KemonはApache License 2.0の下でライセンスされています。LICENSEファイルを参照してください。

参考文献

1. https://patents.google.com/patent/US11106491B2
2. https://www.blackhat.com/us-18/arsenal/schedule/#kemon-an-open-source-pre-and-post-callback-based-framework-for-macos-kernel-monitoring-12085
3. https://www.blackhat.com/us-19/arsenal/schedule/#ksbox-a-fine-grained-macos-malware-sandbox-15059
4. https://www.defcon.org/html/defcon-26/dc-26-speakers.html#Wang
5. https://www.blackhat.com/us-20/briefings/schedule/index.html#dive-into-apple-iofamilyv-20023
6. https://www.blackhat.com/eu-20/briefings/schedule/index.html#please-make-a-dentist-appointment-asap-attacking-iobluetoothfamily-hci-and-vendor-specific-commands-21155
7. https://www.blackhat.com/us-20/arsenal/schedule/index.html#macos-bluetooth-analysis-suite-mbas-19886
8. https://www.blackhat.com/asia-21/briefings/schedule/index.html#racing-the-dark-a-new-tocttou-story-from-apples-core-22214
9. https://www.blackhat.com/us-22/briefings/schedule/#dive-into-apple-iofamily-vol--27728
10. https://www.blackhat.com/us-25/briefings/schedule/index.html#dead-pixel-detected---a-security-assessment-of-apples-graphics-subsystem-45392
11. https://support.apple.com/en-us/HT208331
12. https://support.apple.com/en-us/HT209193