RinHit

RinHit — фреймворк разведки экосистемы macOS. Собирает артефакты экосистемы Apple для построения хронологий сетевой активности, идентификации между устройствами и корреляции физического местоположения.

Это открытый модуль разведки. Закрытый Swift-пейлоад (rinhit-agent) используется нашей командой redteam внутри и не входит в этот репозиторий.

Возможности

• Разведка Wi-Fi сетей — разбирает com.apple.wifi.known-networks.plist (legacy) или использует networksetup (macOS 15+ Data Vault)
• Устройства Bluetooth — сопряженные, кэшированные и подключенные устройства из com.apple.Bluetooth.plist
• История USB-устройств — подключенные USB-устройства через ioreg (IOKit) и system_profiler
• Механизм корреляции — кросс-артефактный анализ:
  • Идентификация между устройствами (режим модема iPhone + AirPods)
  • Паттерны перемещений (обнаружение гостиничного/гостевого Wi-Fi)
  • Фингерпринт дома/офиса (обнаружение роутера провайдера)
  • Временная кластеризация сессий
• Офлайн-геолокация BSSID — SQLite-кэш с импортом Wigle CSV
• Оценка критичности — облачная синхронизация = high, мобильная точка доступа = medium и т. д.
• JSON-вывод — структурированные отчеты для дальнейшего анализа

Установка

# Clone
git clone https://github.com/toxy4ny/rinhit.git
cd rinhit

# Build
go build -o rinhit ./cmd/rinhit

# Or install directly
go install ./cmd/rinhit

Использование

Список доступных коллекторов

./rinhit list

Запуск всех коллекторов (требуется sudo для Wi-Fi)

sudo ./rinhit scan -v

Запуск конкретных коллекторов

sudo ./rinhit scan -c wifi,bluetooth -v

Запуск с механизмом корреляции

sudo ./rinhit scan --correlate -v

Сохранение отчета в файл

sudo ./rinhit scan -o report.json

База данных геолокации

# Import Wigle CSV dump
./rinhit geo import wigle-export.csv

# Lookup a BSSID
./rinhit geo lookup AA:BB:CC:DD:EE:FF

# Show cache stats
./rinhit geo stats

Пример вывода

{
  "generated_at": "2026-08-21T21:09:10Z",
  "hostname": "MacBook-Pro-test.local",
  "user": "root",
  "artifacts": [
    {
      "id": "wifi-ns-iPhone7",
      "collector": "wifi",
      "type": "wifi-network",
      "name": "iPhone7",
      "severity": "medium",
      "timestamp": "2026-08-21T14:09:10-07:00",
      "source": "networksetup",
      "data": {"ssid": "iPhone7", "source": "networksetup"},
      "tags": ["wifi", "network", "macos15-fallback", "mobile-hotspot", "cross-device"]
    }
  ],
  "summary": {
    "total_artifacts": 12,
    "by_severity": {"info": 11, "medium": 1},
    "by_collector": {"wifi": 12}
  },
  "data": {
    "correlations": [
      {
        "type": "mobile-hotspot",
        "confidence": 0.7,
        "description": "Mobile hotspot 'iPhone7' detected - indicates iPhone/iPad tethering usage",
        "artifact_ids": ["wifi-ns-iPhone7"],
        "tags": ["mobile-hotspot", "tethering", "cross-device"]
      }
    ]
  }
}

Архитектура

rinhit/
├── cmd/rinhit/main.go          # CLI entrypoint
├── pkg/
│   ├── collector/              # Collector interface & registry
│   │   ├── wifi/               # Wi-Fi artifact collector
│   │   ├── bluetooth/          # Bluetooth device collector
│   │   └── usb/                # USB device collector
│   ├── model/                  # Artifact & Report structs
│   ├── parser/plist/           # Plist parsing with SIP fallback
│   ├── reporter/json/          # JSON reporter
│   ├── correlator/             # Cross-artifact correlation engine
│   └── geoloc/                 # Offline BSSID geolocation cache

Расширение

Чтобы добавить новый коллектор, реализуйте интерфейс Collector:

type Collector interface {
    Name() string
    Description() string
    Collect(ctx context.Context) ([]model.Artifact, error)
    RequiresRoot() bool
}

Зарегистрируйте его в buildRegistry() в cmd/rinhit/main.go.

Заметки по OPSEC

• RinHit работает в режиме только для чтения — без изменений системы
• На macOS 15+ Wi-Fi plist защищен Data Vault — RinHit переключается на networksetup (используя системные средства)
• Геолокация BSSID через публичные API может выдать оператора — используйте офлайн SQLite-кэш для чувствительных операций
• Запускайте с минимальными привилегиями, где это возможно — только коллектору wifi требуется sudo

Дорожная карта

• Разведка Wi-Fi сетей (plist + запасной вариант networksetup)
• Сопряженные/кэшированные Bluetooth-устройства
• История USB-устройств (ioreg + system_profiler)
• Механизм корреляции (кросс-устройства, перемещения, временные данные)
• Офлайн-импорт Wigle CSV + поиск по BSSID
• Анализ базы данных TCC
• Расширенные атрибуты карантина
• Поиск по метаданным Spotlight
• Хронология Unified Logs
• Формат вывода SARIF
• Отчеты в Markdown для чтения человеком

Лицензия

MIT — см. LICENSE.

«Подобно тому, как долгоносик сверлит плод, откладывает яйца и перерезает стебель, заметая следы, RinHit внедряется в экосистему Apple, закрепляется и подтачивает границы безопасности изнутри».