Suíte de Testes XProtect Remediator

Uma coleção de scripts e documentos para auxiliar futuras pesquisas sobre o XProtect Remediator (XPR), apresentada na Black Hat USA 2025

Sobre Este Repositório

Este repositório contém:

• Os scripts para criar arquivos e processos mínimos e inofensivos que reproduzem a remediação de cada módulo de varredura do XPR
• Os documentos que descrevem a lógica de remediação (ou detecção) do XPR obtida por engenharia reversa, usando a DSL RemediationBuilder

Esses scripts e documentos foram criados para fins de verificação da nossa engenharia reversa do XPR. Esperamos que este repositório seja útil para pesquisadores de segurança que realizem análises do XPR no futuro e queiram entender sob quais condições a remediação ocorre.

NOTA: Execute esses scripts em um ambiente virtualizado.

Preparação

Para revelar as entradas <private> nos Unified Logs, siga os passos descritos no artigo abaixo.

Unified Logs: How to Enable Private Data

Como Usar

Navegue até cd TestSuite/<module_name> e execute ./run.sh.

cd TestSuite/Adload
./run.sh --test-case service

Alguns casos de teste exigem privilégios de root para serem executados. No entanto, eles foram basicamente projetados para serem executados com privilégios de usuário.

cd TestSuite/RedPine
sudo ./run.sh --test-case redpine

Para reproduzir a remediação do XPR, abra um novo terminal e execute

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtect

ou

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRemediator<module_name> # (ex.: XProtectRemediatorAdload)

Versões Verificadas

Autor

Koh M. Nakagawa (@tsunek0h) © FFRI Security, Inc. 2025

Licença

Apache versão 2.0