А как собирать триаж на MacOS?

Я как-то делал ресерч на эту тему, но там тема была скорее "что собрать", а не "как"?

А тут появилась прикладная задача, да еще и не первый раз, избежать ее было трудно)

У меня на столе оказалось меню из двух позиций:
- Популярный velociraptor
- Нативный aftermath

Я использовал velociraptor для Windows и Linux, и там я привык, что конфиг просто вшивается внутрь бинарника и ты спокойно раскидываешь по инфре и собираешь дабл кликом от админа (или судо в терминале).

С MacOS все оказалось не так просто. Как известно, в MacOS есть своя система подписей бинарей. И если у бинаря нет официальной подписи, то он просто так не запустится на вашем компьютере. Это несложно обойти на одной конкретной машине, но обходить это можно только руками (особенно на последних версиях).

Итого как создается сборщик для MacOS в velociraptor?

1️⃣ Генерируем конфиг и запускаем GUI для генерации нового артефакта сбора

./velociraptor --config server.config.yaml gui

2️⃣ Собираем новый артефакт (а что там будет - оставлю для остальных, лишь напомню про репо)

3️⃣ При генерации сборщика выбираем MacOS и тут интересно, что на выходе будет файл в районе 50-90 килобайт. Что это за файл?

Для запуска дабл кликом в velociraptor вшивается аргумент автозапуска autoexec.argv. В PE файл это вшивается в секцию PE, в ELF файле добавляется в конец файла, а если мы добавим это в MACH-O файл, то integrity нарушится и файл не запустится.

Таким образом Velociraptor придумали обходное решение - создается shell обвязка с встроенным конфигом в бинарном виде. Внутри файла есть маркер ###<Begin Embedded Config>.

При этом velociraptor, получив --embedded_config /path/to/script.sh, открывает этот же файл, ищет маркер ###<Begin Embedded Config>, читает байты после него и парсит как embedded config. Это конфиг - это просто сжатый zlib валидный yaml, который читает velociraptor.

Таким образом, для запуска velociraptor нужно 3 сущности.

1. Дефолтный Бинарь velociraptor с валидной подписью MACH-O файла от Rapid-7
2. autoexec скрипт, который сгенерировал сервер velociraptor для MacOS
3. Скрипт-обвязка, которая запустит это все вместе.

Но и это еще не все!)

В MacOS есть механизм FDA (Full Disk Access). Если это разрешение не дану терминалу, в котором вы его запускаете, то некоторые системные артефакты просто не соберутся. Выставить это можно тоже только руками или через MDM решения Системные настройки → Конфиденциальность и безопасность → Доступ к диску и там переключить кнопку для терминала, где будем запускать velociraptor.

Таким образом процесс слегка сложнее, чем на других ОС, и на больших объемах может быть не таким простым.

Ну а aftermath...

У меня он вообще не заработал, хотя штука прикольная. Просто вылетал с exit code 133. У меня не то, чтобы много ресурсов для теста, может мой конкретный сетап системы не подходит.