XProtect Remediator テストスイート

将来の XProtect Remediator (XPR) 研究に役立つスクリプトとドキュメントのコレクションです。Black Hat USA 2025 で発表されました。

このリポジトリについて

このリポジトリには以下が含まれます:

• XPR の各スキャンモジュールの修復を再現する、無害な最小限のファイルとプロセスを作成するスクリプト
• RemediationBuilder DSL を用いて、リバースエンジニアリングした XPR の修復（または検出）ロジックを説明するドキュメント

これらのスクリプトとドキュメントは、XPR のリバースエンジニアリングの検証を目的として作成されました。このリポジトリが、将来 XPR の解析を行い、どのような条件下で修復が発生するのかを理解したいセキュリティ研究者にとって役立つことを願っています。

注記: これらのスクリプトは仮想化環境で実行してください。

準備

Unified Logs で <private> エントリを表示するには、以下の記事の手順に従ってください。

Unified Logs: プライベートデータを有効にする方法

使用方法

cd TestSuite/<module_name> に移動し、./run.sh を実行します。

cd TestSuite/Adload
./run.sh --test-case service

一部のテストケースは実行に root 権限が必要です。ただし、基本的にはユーザー権限で実行できるように設計されています。

cd TestSuite/RedPine
sudo ./run.sh --test-case redpine

XPR の修復/修復を再現するには、新しいターミナルを開いて次のコマンドを実行します。

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtect

または

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRemediator<module_name> # (e.g., XProtectRemediatorAdload)

検証済みバージョン

著者

Koh M. Nakagawa (@tsunek0h) © FFRI Security, Inc. 2025

ライセンス

Apache バージョン 2.0