XProtect Remediator 테스트 스위트

향후 XProtect Remediator(XPR) 연구를 돕기 위한 스크립트와 문서 모음으로, Black Hat USA 2025에서 발표되었습니다.

이 저장소에 대해

이 저장소에는 다음이 포함되어 있습니다:

• XPR의 각 스캔 모듈의 교정(remediation)을 재현하는 무해한 최소 파일과 프로세스를 생성하는 스크립트
• RemediationBuilder DSL을 사용하여 역공학한 XPR 교정(또는 탐지) 로직을 설명하는 문서

이 스크립트와 문서는 XPR 역공학의 검증 목적으로 제작되었습니다. 이 저장소가 향후 XPR 분석을 수행하고 교정이 어떤 조건에서 발생하는지 이해하려는 보안 연구자에게 유용하기를 바랍니다.

참고: 이 스크립트는 가상화 환경에서 실행하십시오.

준비

통합 로그(Unified Logs)에서 <private> 항목을 표시하려면 아래 문서의 절차를 따르십시오.

Unified Logs: How to Enable Private Data

사용 방법

cd TestSuite/<module_name>로 이동한 후 ./run.sh를 실행하십시오.

cd TestSuite/Adload
./run.sh --test-case service

일부 테스트 케이스는 실행 시 root 권한이 필요합니다. 그러나 기본적으로 사용자 권한으로 실행되도록 설계되었습니다.

cd TestSuite/RedPine
sudo ./run.sh --test-case redpine

XPR 교정을 재현하려면 새 터미널을 열고 다음을 실행하십시오.

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtect

또는

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRemediator<module_name> # (예: XProtectRemediatorAdload)

검증된 버전

저자

Koh M. Nakagawa (@tsunek0h) © FFRI Security, Inc. 2025

라이선스

Apache 버전 2.0