RinHit

RinHit - macOS 생태계 정찰 프레임워크. Apple 생태계에서 아티팩트를 수집하여 네트워크 활동, 기기 간 신원, 물리적 위치 상관관계의 타임라인을 구축합니다.

이는 오픈소스 정찰 모듈입니다. 클로즈드소스 Swift 페이로드(rinhit-agent)는 내부적으로 레드팀에서 사용되며 이 저장소에 포함되지 않습니다.

기능

Wi-Fi 네트워크 정찰 - com.apple.wifi.known-networks.plist(레거시) 파싱 또는 networksetup(macOS 15+ Data Vault) 사용
Bluetooth 기기 - com.apple.Bluetooth.plist의 페어링된 기기, 캐시된 기기, 연결된 기기
USB 기기 기록 - ioreg(IOKit) 및 system_profiler를 통한 연결된 USB 기기
상관관계 엔진 - 아티팩트 간 분석:
- 기기 간 신원(iPhone 핫스팟 + AirPods)
- 이동 패턴(호텔/게스트 Wi-Fi 탐지)
- 집/사무실 핑거프린트(ISP 라우터 탐지)
- 시간 기반 세션 클러스터링
오프라인 BSSID 지리위치 - Wigle CSV 가져오기를 지원하는 SQLite 캐시
심각도 점수 - Cloud Sync = high, 모바일 핫스팟 = medium 등
JSON 출력 - 추가 분석을 위한 구조화된 보고

설치

# 클론
git clone https://github.com/toxy4ny/rinhit.git
cd rinhit

# 빌드
go build -o rinhit ./cmd/rinhit

# 또는 직접 설치
go install ./cmd/rinhit

사용법

사용 가능한 수집기 나열

./rinhit list

모든 수집기 실행(Wi-Fi에는 `sudo` 필요)

sudo ./rinhit scan -v

특정 수집기 실행

sudo ./rinhit scan -c wifi,bluetooth -v

상관관계 엔진과 함께 실행

sudo ./rinhit scan --correlate -v

보고서를 파일로 저장

sudo ./rinhit scan -o report.json

지리위치 데이터베이스

# Wigle CSV 덤프 가져오기
./rinhit geo import wigle-export.csv

# BSSID 조회
./rinhit geo lookup AA:BB:CC:DD:EE:FF

# 캐시 통계 표시
./rinhit geo stats

출력 예시

{
  "generated_at": "2026-08-21T21:09:10Z",
  "hostname": "MacBook-Pro-test.local",
  "user": "root",
  "artifacts": [
    {
      "id": "wifi-ns-iPhone7",
      "collector": "wifi",
      "type": "wifi-network",
      "name": "iPhone7",
      "severity": "medium",
      "timestamp": "2026-08-21T14:09:10-07:00",
      "source": "networksetup",
      "data": {"ssid": "iPhone7", "source": "networksetup"},
      "tags": ["wifi", "network", "macos15-fallback", "mobile-hotspot", "cross-device"]
    }
  ],
  "summary": {
    "total_artifacts": 12,
    "by_severity": {"info": 11, "medium": 1},
    "by_collector": {"wifi": 12}
  },
  "data": {
    "correlations": [
      {
        "type": "mobile-hotspot",
        "confidence": 0.7,
        "description": "Mobile hotspot 'iPhone7' detected - indicates iPhone/iPad tethering usage",
        "artifact_ids": ["wifi-ns-iPhone7"],
        "tags": ["mobile-hotspot", "tethering", "cross-device"]
      }
    ]
  }
}

아키텍처

rinhit/
├── cmd/rinhit/main.go          # CLI 진입점
├── pkg/
│   ├── collector/              # 수집기 인터페이스 및 레지스트리
│   │   ├── wifi/               # Wi-Fi 아티팩트 수집기
│   │   ├── bluetooth/          # Bluetooth 기기 수집기
│   │   └── usb/                # USB 기기 수집기
│   ├── model/                  # Artifact 및 Report 구조체
│   ├── parser/plist/           # SIP 폴백이 포함된 Plist 파싱
│   ├── reporter/json/          # JSON 리포터
│   ├── correlator/             # 아티팩트 간 상관관계 엔진
│   └── geoloc/                 # 오프라인 BSSID 지리위치 캐시

확장

새 수집기를 추가하려면 Collector 인터페이스를 구현하세요:

type Collector interface {
    Name() string
    Description() string
    Collect(ctx context.Context) ([]model.Artifact, error)
    RequiresRoot() bool
}

그런 다음 cmd/rinhit/main.go의 buildRegistry()에 등록하세요.

OPSEC 참고 사항

RinHit는 읽기 전용 모드로 작동합니다 - 시스템을 수정하지 않습니다
macOS 15+에서 Wi-Fi plist는 Data Vault로 보호됩니다 - RinHit는 networksetup으로 폴백합니다(living off the land)
공개 API를 통한 BSSID 지리위치는 운영자를 추적할 수 있습니다 - 민감한 작업에는 오프라인 SQLite 캐시를 사용하세요
가능한 한 최소 권한으로 실행하세요 - sudo가 필요한 것은 wifi 수집기뿐입니다

로드맵

라이선스

MIT - LICENSE 참조.

"바구미가 과일에 구멍을 뚫고, 알을 낳고, 줄기를 잘라 흔적을 덮듯이, RinHit는 Apple 생태계를 뚫고 들어가 지속성을 심고 내부에서 보안 경계를 무너뜨립니다."

rinhit

인기