PoisonApple

macOS에서 다양한 지속성 메커니즘 기법을 수행하기 위한 명령줄 도구입니다. 이 도구는 위협 헌터가 사이버 위협 에뮬레이션 목적으로 사용할 수 있도록 설계되었습니다.

설치

다음과 같이 설치합니다:

$ pip3 install poisonapple --user

참고: PoisonApple은 Python 3.9에서 작성 및 테스트되었으며, Python 3.6 이상에서 작동해야 합니다.

중요 참고 사항!

PoisonApple은 macOS 시스템을 수정합니다. 가상 머신에서만 사용하는 것이 좋습니다. 이 도구를 사용하여 추가된 지속성 메커니즘 기법은 쉽게 제거할 수 있지만(-r), 주의해서 사용하세요!
이 도구는 일반적인 AV/EDR 및 기타 macOS 보안 제품에서 경고를 생성할 가능성이 높습니다.
이러한 기법이 어떻게 작동하는지 자세히 알아보려면 Patrick Wardle의 The Art of Mac Malware, Volume 1: Analysis - Chapter 0x2: Persistence를 참조하세요. 훌륭한 자료입니다.

사용법

PoisonApple 스위치 옵션 보기 (--help):

$ poisonapple --help
usage: poisonapple [-h] [-l] [-t TECHNIQUE] [-n NAME] [-c COMMAND] [-r]

macOS에서 다양한 지속성 메커니즘 기법을 수행하는 명령줄 도구입니다.

선택적 인수:
  -h, --help            도움말 메시지를 표시하고 종료합니다.
  -l, --list            사용 가능한 지속성 메커니즘 기법을 나열합니다.
  -t TECHNIQUE, --technique TECHNIQUE
                        사용할 지속성 메커니즘 기법
  -n NAME, --name NAME  지속성에 사용할 파일 또는 레이블 이름
  -c COMMAND, --command COMMAND
                        지속성을 위해 실행할 명령어
  -r, --remove          지속성 메커니즘 제거

사용 가능한 기법 목록:

$ poisonapple --list
      ,       _______       __
  .-.:|.-.   |   _   .-----|__|-----.-----.-----.
.'        '. |.  |   |  |  |  |__ --|  |  |  |  |
'-."~".  .-' |.  ____|_____|__|_____|_____|__|__|
  } ` }  {   |:  |  _______             __
  } } }  {   |::.| |   _   .-----.-----|  |-----.
  } ` }  {   `---' |.  |   |  |  |  |  |  |  -__|
.-'"~"   '-.       |.  _   |   __|   __|__|_____|
'.        .'       |:  |   |__|  |__|
  '-_.._-'         |::.|:. |
                   `--- ---' v0.2.3

+--------------------+
| AtJob              |
+--------------------+
| Bashrc             |
+--------------------+
| Cron               |
+--------------------+
| CronRoot           |
+--------------------+
| Emond              |
+--------------------+
| Iterm2             |
+--------------------+
| LaunchAgent        |
+--------------------+
| LaunchAgentUser    |
+--------------------+
| LaunchDaemon       |
+--------------------+
| LoginHook          |
+--------------------+
| LoginHookUser      |
+--------------------+
| LoginItem          |
+--------------------+
| LogoutHook         |
+--------------------+
| LogoutHookUser     |
+--------------------+
| Periodic           |
+--------------------+
| Reopen             |
+--------------------+
| Zshrc              |
+--------------------+

지속성 메커니즘 적용:

$ poisonapple -t LaunchAgentUser -n testing
      ,       _______       __
  .-.:|.-.   |   _   .-----|__|-----.-----.-----.
.'        '. |.  |   |  |  |  |__ --|  |  |  |  |
'-."~".  .-' |.  ____|_____|__|_____|_____|__|__|
  } ` }  {   |:  |  _______             __
  } } }  {   |::.| |   _   .-----.-----|  |-----.
  } ` }  {   `---' |.  |   |  |  |  |  |  |  -__|
.-'"~"   '-.       |.  _   |   __|   __|__|_____|
'.        .'       |:  |   |__|  |__|
  '-_.._-'         |::.|:. |
                   `--- ---' v0.2.3

[+] 성공! 지속성 메커니즘 작업이 성공했습니다: LaunchAgentUser

명령어를 지정하지 않으면(-c) 기본 트리거 명령어가 사용되며, 지속성 메커니즘이 트리거될 때마다 바탕화면에 파일을 작성합니다:

$ cat ~/Desktop/PoisonApple-LaunchAgentUser
Triggered @ Tue Mar 23 17:46:02 CDT 2021 
Triggered @ Tue Mar 23 17:46:13 CDT 2021 
Triggered @ Tue Mar 23 17:46:23 CDT 2021 
Triggered @ Tue Mar 23 17:46:33 CDT 2021 
Triggered @ Tue Mar 23 17:46:43 CDT 2021 
Triggered @ Tue Mar 23 17:46:53 CDT 2021 
Triggered @ Tue Mar 23 17:47:03 CDT 2021 
Triggered @ Tue Mar 23 17:47:13 CDT 2021 
Triggered @ Tue Mar 23 17:48:05 CDT 2021 
Triggered @ Tue Mar 23 17:48:15 CDT 2021

지속성 메커니즘 제거:

$ poisonapple -t LaunchAgentUser -n testing -r
...

사용자 정의 명령어 사용:

$ poisonapple -t LaunchAgentUser -n foo -c "echo foo >> /Users/user/Desktop/foo"
...

PoisonApple

인기

PoisonApple

설치

중요 참고 사항!

사용법