Набор тестов XProtect Remediator

Коллекция скриптов и документов, помогающая будущим исследованиям XProtect Remediator (XPR), представленная на Black Hat USA 2025

Об этом репозитории

Этот репозиторий содержит:

• Скрипты для создания безвредных минимальных файлов и процессов, воспроизводящих ремедиацию каждого сканирующего модуля XPR
• Документы, описывающие логику ремедиации (или обнаружения) XPR, полученную в результате обратной разработки, с использованием RemediationBuilder DSL

Эти скрипты и документы были созданы для проверки результатов нашего реверс-инжиниринга XPR. Мы надеемся, что этот репозиторий будет полезен исследователям безопасности, которые в будущем проведут анализ XPR и захотят понять, при каких условиях происходит ремедиация.

ПРИМЕЧАНИЕ: Пожалуйста, запускайте эти скрипты в виртуализированной среде.

Подготовка

Чтобы раскрыть записи <private> в Unified Logs, выполните шаги, описанные в статье ниже.

Unified Logs: как включить приватные данные

Как использовать

Выполните cd TestSuite/<module_name> и запустите ./run.sh.

cd TestSuite/Adload
./run.sh --test-case service

Некоторые тест-кейсы требуют прав root для запуска. Однако в основном они рассчитаны на запуск с правами пользователя.

cd TestSuite/RedPine
sudo ./run.sh --test-case redpine

Чтобы воспроизвести ремедиацию/ремедиацию XPR, откройте новый терминал и выполните

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtect

или

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRemediator<module_name> # (e.g., XProtectRemediatorAdload)

Проверенные версии

Автор

Koh M. Nakagawa (@tsunek0h) © FFRI Security, Inc. 2025

Лицензия

Apache версии 2.0