DylibHijackTest

Требования

• Установите зависимости Python3: pip3 install -r requirements.txt
• Скомпилируйте dylib из исходников, потому что не стоит доверять скомпилированным файлам с GitHub: gcc -dynamiclib DylibHijackTest.c -o DylibHijackTest.dylib

Как это работает

⚠️ Это породит множество процессов на вашей машине, запускайте в VM: Будьте предельно осторожны!

• inject.py
  • Рекурсивно обходит папку и ищет Mach-O бинарники с заголовком MH_EXECUTE
  • Запускает Mach-O бинарник с переменной окружения DYLD_INSERT_LIBRARIES, указывающей на наш вредоносный dylib
  • Перенаправляет весь stdout в файл и stderr в /dev/null
• inspect.py
  • Берёт текстовый вывод из inject.py, чтобы увидеть, какие Mach-O можно внедрить, и использует codesign для проверки полезных entitlements
  • Празднуем!!!

Использование

$ python3 inject.py /Applications/iMovie.app /Users/slyd0g/DylibHijackTest.dylib > imovie.txt 2> /dev/null
$ python3 inspect.py /Users/slyd0g/Projects/DylibHijackTest/imovie.txt