---

MacNoise

O MacNoise gera telemetria real do macOS: conexões de rede, gravações de arquivos, criação de processos, mutações de plist, sondagens de TCC e muito mais. Aponte-o para uma máquina executando sua pilha de EDR, SIEM ou firewall e veja o que realmente dispara - não o que a ficha técnica do fornecedor afirma que vai disparar.

Para contexto sobre a motivação e o design, consulte o post do blog de lançamento.

Início Rápido

# Build (add build-amd64 / build-arm64 to cross-compile for Darwin, or release for both)
make build

# List available modules
./macnoise list

# Run a single module
./macnoise run net_connect --param target=127.0.0.1 --param port=8080

# Preview without executing
./macnoise run svc_launch_agent --dry-run

# Run all network modules
./macnoise run --category network

# Run a scenario
./macnoise scenario configs/scenarios/edr_validation.yaml

# Emit structured JSONL output
./macnoise scenario configs/scenarios/file_flow.yaml --format jsonl --output /tmp/events.jsonl

Categorias de Telemetria

Categoria	Descrição
network	Conexões TCP, HTTP, listeners, reverse shells, DNS e TLS
process	Execução exata, entrega de sinais, injeção de dylib, bypass do Gatekeeper e osascript
file	Descoberta limitada, leituras/cópias literais, criação, modificação, arquivamento, ocultação e criptografia de iscas
tcc	Sondagens de permissão TCC com requisitos exatos de Acesso Total ao Disco, Contatos, Acessibilidade ou Gravação de Tela
credential	Acesso nativo ao armazenamento de credenciais
volume	Criação de imagem de disco e ciclo de vida de volume montado
service	Enumeração do Launchd, persistência via LaunchAgent/Daemon, cron, perfil de shell e Itens de Login
plist	Criação e modificação de plist
evasion	Limpeza de logs, timestomping, remoção de histórico e mascaramento

Consulte o catálogo de módulos gerado para cada módulo, parâmetro, saída, tipo de evento, privilégio e mapeamento ATT&CK.

Comandos

macnoise run <module> [--param key=val ...]   Run a specific module
macnoise run --category <cat>                 Run all modules in a category
macnoise run --all                            Run all modules
macnoise list [--category <cat>]              List modules
macnoise info <module>                        Show module details, params, MITRE
macnoise scenario <file.yaml> [--input key=val] [--report report.json]
                                                Run a YAML scenario
macnoise categories                           List categories with counts
macnoise version                              Print version

Flags Globais

Flag	Padrão	Descrição
--format	human	Formato de saída: human ou jsonl
--output	(nenhum)	Grava a saída em arquivo (além do stdout)
--verbose	false	Saída detalhada, incluindo erros de limpeza
--dry-run	false	Pré-visualiza as ações sem executá-las
--no-cleanup	false	Deixa os artefatos do módulo no lugar (veja abaixo)
--timeout	30	Timeout por módulo em segundos
--audit-log	(nenhum)	Grava registros de auditoria OCSF 1.7.0 em um arquivo JSONL
--config	(nenhum)	Carrega padrões de um arquivo de configuração YAML
--run-id	gerado	Define o identificador de correlação para esta execução

Fluxo de dados de cenários

Arquivos de cenário usam version: 1. Entradas e saídas de módulos são tipadas, e um passo posterior as referencia com mapeamentos explícitos em vez de interpolação de strings:

version: 1
name: Archive one generated artifact
on_error: stop
inputs:
  content:
    type: string
    required: true
steps:
  # Custom modules declare these outputs through OutputSpecs.
  - id: create
    module: custom_create
    params:
      content:
        input: content
  - id: archive
    module: custom_archive
    params:
      source:
        output: create.path
outputs:
  archive:
    output: archive.path

Apenas saídas declaradas por um módulo podem ser referenciadas. Cenários locais podem ser reutilizados com um passo include; os includes são relativos, não podem atravessar acima do diretório raiz do cenário, são verificados quanto a ciclos e são limitados a oito níveis. O MacNoise valida o grafo completo antes da execução, concede à execução um workspace privado e limpa os módulos invocados em ordem reversa. Use --input content=value para fornecer entradas e --report report.json para o relatório de execução versionado.

Deixando Artefatos no Lugar

Por padrão, todo módulo se reverte quando termina. Isso geralmente é o que você quer, mas significa que uma detecção só vê o evento de instalação. Para validar que sua pilha detecta a persistência em si - um LaunchAgent em ~/Library/LaunchAgents, uma entrada de cron, um perfil de shell modificado - o artefato precisa ainda estar lá quando a varredura for executada:

./macnoise run svc_launch_agent --no-cleanup

Cada módulo que pula a limpeza imprime uma linha nomeando a si mesmo, e o log de auditoria registra cleanup_result: skipped em vez de ok, para que uma execução que deixou persistência para trás nunca seja confundida com uma que fez a limpeza. Use macnoise info <module> para ver o que um determinado módulo cria.

Você é responsável por removê-los por conta própria. Reexecutar o mesmo módulo sem a flag limpará apenas o que aquela execução criou, não o que uma execução anterior com --no-cleanup deixou para trás.

Registro de Auditoria

O MacNoise grava dois fluxos separados. Eventos de telemetria - o que seu EDR/SIEM realmente vê - vão para stdout ou --output. Um segundo fluxo opcional registra o que o próprio MacNoise fez: quais módulos foram executados, resultados de pré-requisitos/limpeza e mapeamentos MITRE, em JSONL OCSF 1.7.0.

./macnoise scenario configs/scenarios/amos_atomic_stealer.yaml --audit-log /tmp/audit.jsonl

Todo evento de telemetria carrega um outcome autoritativo e um subject tipado (schema 2.0). O outcome diz o que aconteceu com a ação que o MacNoise tentou, enquanto o subject identifica o arquivo, processo, endpoint de rede, serviço ou recurso envolvido:

outcome	Significado	Marcador humano
executed	A ação foi executada e fez o que o módulo afirma	[+]
denied	A ação foi executada e o ambiente a recusou	[-]
indeterminate	A ação foi executada, mas nada pode ser concluído	[?]
error	O próprio MacNoise falhou em executar a ação	[!]

Uma sondagem TCC negada ou um beacon para um C2 morto é a telemetria que esta ferramenta existe para gerar, então é distinta de error, que significa que o próprio MacNoise falhou. O log de auditoria registra o mesmo valor em unmapped.outcome. Parâmetros declarados como sensíveis são substituídos por [REDACTED] em registros de auditoria gerenciados e na identidade da linha de comando.