RinHit

RinHit - framework de reconhecimento do ecossistema macOS. Coleta artefatos do ecossistema Apple para construir linhas do tempo de atividade de rede, identidade entre dispositivos e correlação de localização física.

Este é o módulo de reconhecimento de código aberto. O payload Swift de código fechado (rinhit-agent) é usado internamente pela nossa redteam e não faz parte deste repositório.

Funcionalidades

• Reconhecimento de Redes Wi-Fi - Analisa com.apple.wifi.known-networks.plist (legado) ou usa networksetup (Data Vault no macOS 15+)
• Dispositivos Bluetooth - Dispositivos pareados, em cache e conectados de com.apple.Bluetooth.plist
• Histórico de Dispositivos USB - Dispositivos USB conectados via ioreg (IOKit) e system_profiler
• Mecanismo de Correlação - Análise entre artefatos:
  • Identidade entre dispositivos (hotspot do iPhone + AirPods)
  • Padrões de viagem (detecção de Wi-Fi de hotel/visitante)
  • Impressão digital de casa/escritório (detecção de roteador de ISP)
  • Agrupamento temporal de sessões
• Geolocalização de BSSID Offline - Cache SQLite com importação de CSV do Wigle
• Pontuação de Severidade - Cloud Sync = high, hotspot móvel = medium, etc.
• Saída JSON - Relatórios estruturados para análises adicionais

Instalação

# Clone
git clone https://github.com/toxy4ny/rinhit.git
cd rinhit

# Build
go build -o rinhit ./cmd/rinhit

# Or install directly
go install ./cmd/rinhit

Uso

Listar coletores disponíveis

./rinhit list

Executar todos os coletores (requer sudo para Wi-Fi)

sudo ./rinhit scan -v

Executar coletores específicos

sudo ./rinhit scan -c wifi,bluetooth -v

Executar com mecanismo de correlação

sudo ./rinhit scan --correlate -v

Salvar relatório em arquivo

sudo ./rinhit scan -o report.json

Banco de dados de geolocalização

# Importar dump CSV do Wigle
./rinhit geo import wigle-export.csv

# Consultar um BSSID
./rinhit geo lookup AA:BB:CC:DD:EE:FF

# Mostrar estatísticas do cache
./rinhit geo stats

Exemplo de Saída

{
  "generated_at": "2026-08-21T21:09:10Z",
  "hostname": "MacBook-Pro-test.local",
  "user": "root",
  "artifacts": [
    {
      "id": "wifi-ns-iPhone7",
      "collector": "wifi",
      "type": "wifi-network",
      "name": "iPhone7",
      "severity": "medium",
      "timestamp": "2026-08-21T14:09:10-07:00",
      "source": "networksetup",
      "data": {"ssid": "iPhone7", "source": "networksetup"},
      "tags": ["wifi", "network", "macos15-fallback", "mobile-hotspot", "cross-device"]
    }
  ],
  "summary": {
    "total_artifacts": 12,
    "by_severity": {"info": 11, "medium": 1},
    "by_collector": {"wifi": 12}
  },
  "data": {
    "correlations": [
      {
        "type": "mobile-hotspot",
        "confidence": 0.7,
        "description": "Mobile hotspot 'iPhone7' detected - indicates iPhone/iPad tethering usage",
        "artifact_ids": ["wifi-ns-iPhone7"],
        "tags": ["mobile-hotspot", "tethering", "cross-device"]
      }
    ]
  }
}

Arquitetura

rinhit/
├── cmd/rinhit/main.go          # CLI entrypoint
├── pkg/
│   ├── collector/              # Collector interface & registry
│   │   ├── wifi/               # Wi-Fi artifact collector
│   │   ├── bluetooth/          # Bluetooth device collector
│   │   └── usb/                # USB device collector
│   ├── model/                  # Artifact & Report structs
│   ├── parser/plist/           # Plist parsing with SIP fallback
│   ├── reporter/json/          # JSON reporter
│   ├── correlator/             # Cross-artifact correlation engine
│   └── geoloc/                 # Offline BSSID geolocation cache

Como Estender

Para adicionar um novo coletor, implemente a interface Collector:

type Collector interface {
    Name() string
    Description() string
    Collect(ctx context.Context) ([]model.Artifact, error)
    RequiresRoot() bool
}

Registre-o em buildRegistry() no arquivo cmd/rinhit/main.go.

Notas de OPSEC

• O RinHit opera em modo somente leitura - sem modificações no sistema
• No macOS 15+, o plist de Wi-Fi é protegido pelo Data Vault - o RinHit usa networksetup como fallback (living off the land)
• A geolocalização de BSSID via APIs públicas pode identificar o operador - use o cache SQLite offline para operações sensíveis
• Execute com privilégios mínimos quando possível - apenas o coletor wifi requer sudo

Roadmap

• Reconhecimento de redes Wi-Fi (plist + fallback do networksetup)
• Dispositivos Bluetooth pareados/em cache
• Histórico de dispositivos USB (ioreg + system_profiler)
• Mecanismo de correlação (entre dispositivos, viagens, temporal)
• Importação offline de CSV do Wigle + consulta de BSSID
• Análise do banco de dados TCC
• Atributos estendidos de quarentena
• Pesquisa de metadados do Spotlight
• Linha do tempo dos Unified Logs
• Formato de saída SARIF
• Relatórios legíveis em Markdown

Licença

MIT - veja LICENSE.

"Assim como o gorgulho perfura a fruta, põe ovos e corta o caule para encobrir seus rastros, o RinHit perfura o ecossistema Apple, instala persistência e corrói as fronteiras de segurança por dentro."