ラベル XProtect の投稿を表示しています。 すべての投稿を表示
ラベル XProtect の投稿を表示しています。 すべての投稿を表示

20260217

XProtectアップデート　5330


これを書いている時点では
com.apple.SoftwareUpdateの設定で restrict-software-update-require-admin-to-installの設定をTRUEにしていると
/usr/sbin/softwareupdate --download
/usr/sbin/softwareupdate --install
の
コマンドは失敗する（ストールする）
"/Library/Preferences/com.apple.SoftwareUpdate.plist"
と
"/Library/Managed Preferences/com.apple.SoftwareUpdate.plist"
の
両方に設定があるが
設定値を変更してもMDMのロードが有効なようで
softwareupdateコマンドは失敗する

サンプルソース（参考）
行番号ソース
001アップデートは２系統
002xprotectとsoftwareupdateです
003まずは
004xprotect
005#アップデート前
006#チェック
007/usr/bin/sudo /usr/bin/xprotect check
008#バージョン
009/usr/bin/xprotect version
010#アップデート
011/usr/bin/sudo /usr/bin/xprotect update
012#アップデート後
013#チェック
014/usr/bin/sudo /usr/bin/xprotect check
015#バージョン
016/usr/bin/xprotect version
017#ステータス
018/usr/bin/xprotect status
019
020softwareupdateは
021#リスト
022/usr/sbin/softwareupdate --list --recommended --include-config-data
023#ダウンロード
024/usr/sbin/softwareupdate --download --recommended --include-config-data
025#インストール
026/usr/bin/sudo /usr/sbin/softwareupdate --install --recommended --include-config-data
AppleScriptで生成しました
ログ
サンプルソース（参考）
行番号ソース
001
002OSver: 26.3
003CUPS: 2.3.4
004iCloud XProtect: /private/var/protected/xprotect
005In var XProtect.bundle Ver: 5330
006Legacy XProtect: /Library/Apple/System/Library/CoreServices
007In Library XProtect.bundle Ver: 5329
008XProtect.app: 156
009XProtectPluginService.xpc: 74
010MRT.app: 1.93
011AppleKextExcludeList.kext: 21.0.0
012/usr/bin/sudo /usr/bin/xprotect check
013Current update: date: 2026-02-18 00:55:01 +0000 version: 5330
014/usr/bin/xprotect  version
015Version: 5330 Installed: 2026-02-18 01:15:56 +0000
016/usr/bin/sudo /usr/bin/xprotect update
017Starting update.
018No update applied, already up to date
019/usr/bin/sudo /usr/bin/xprotect check
020Current update: date: 2026-02-18 00:55:01 +0000 version: 5330
021/usr/bin/xprotect version
022Version: 5330 Installed: 2026-02-18 01:15:56 +0000
023/usr/bin/xprotect status
024XProtect launch scans: enabled
025XProtect background scans: enabled
026/usr/sbin/softwareupdate --list --recommended --include-config-data
0272026-02-18T01:18:48Z
028Software Update Tool
029
030Finding available software
031Software Update found the following new or updated software:
032* Label: XProtectPlistConfigData_10_15-5330
033  Title: XProtectPlistConfigData, Version: 5330, Size: 1249KiB, Recommended: YES,
034* Label: XProtectPayloads_10_15-157
035  Title: XProtectPayloads, Version: 157, Size: 23593KiB, Recommended: YES,
0362026-02-18T01:18:54Z
037/usr/sbin/softwareupdate --download --recommended --include-config-data
0382026-02-18T01:18:54Z
039Software Update Tool
040
041Finding available software
042
043Downloading XProtectPlistConfigData
044Downloading XProtectPayloads
045Downloaded XProtectPlistConfigData
046Downloaded XProtectPayloads
047Done.
0482026-02-18T01:19:07Z
049softwareupdateを実行します、最大２時間かかるケースもあります
050softwareupdate開始: 2026年 2月18日 水曜日 10時19分07秒 JST
051/usr/bin/sudo /usr/sbin/softwareupdate --install --recommended --include-config-data
052Software Update Tool
053
054Finding available software
055
056Downloaded XProtectPlistConfigData
057Downloaded XProtectPayloads
058Installing XProtectPlistConfigData, XProtectPayloads
059Done with XProtectPlistConfigData
060Done with XProtectPayloads
061Done.
062softwareupdate終了: 2026年 2月18日 水曜日 10時19分19秒 JST
063
064スキャン開始します　少し時間がかかります(約１０分)
065スキャン開始: 2026年 2月18日 水曜日 10時19分20秒 JST
066/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtect
067スキャン終了しました
068スキャン終了: 2026年 2月18日 水曜日 10時19分20秒 JST
069Starting update.
070No update applied, already up to date
071In var XProtect.bundle Ver: 5330
072In Library XProtect.bundle Ver: 5330
073XprotectAppVer: 157
074XPC: 74
075MRT: 1.93
076AppleKextExcludeList: 21.0.0
077zsh $
AppleScriptで生成しました

XProtectアップデート　5329 ／ macOS26.3 アップデート


前回の5327から１つ飛ばして5329です
XProtect.bundleは２箇所にあります
通常系とiCloud系です
/Library/Apple/System/Library/CoreServices/XProtect.bundle
/private/var/protected/xprotect/XProtect.bundle

アップデートは２系統
xprotectとsoftwareupdateです
まずは
xprotect

サンプルソース（参考）
行番号ソース
001アップデートは２系統
002xprotectとsoftwareupdateです
003まずは
004xprotect
005
006#アップデート前
007#チェック
008/usr/bin/sudo /usr/bin/xprotect check
009#バージョン
010/usr/bin/xprotect version
011#アップデート
012/usr/bin/sudo /usr/bin/xprotect update
013
014#アップデート後
015#チェック
016/usr/bin/sudo /usr/bin/xprotect check
017#バージョン
018/usr/bin/xprotect version
019#ステータス
020/usr/bin/xprotect status
AppleScriptで生成しました
softwareupdateは
サンプルソース（参考）
行番号ソース
001#リスト
002/usr/sbin/softwareupdate --list --recommended --include-config-data
003#ダウンロード
004/usr/sbin/softwareupdate --download --recommended --include-config-data
005#インストール
006/usr/bin/sudo /usr/sbin/softwareupdate --install --recommended --include-config-data
AppleScriptで生成しました
ログ
サンプルソース（参考）
行番号ソース
001OSver: 26.2
002CUPS: 2.3.4
003iCloud XProtect: /private/var/protected/xprotect
004In var XProtect.bundle Ver: 5327
005Legacy XProtect: /Library/Apple/System/Library/CoreServices
006In Library XProtect.bundle Ver: 5327
007XProtect.app: 156
008XProtectPluginService.xpc: 74
009MRT.app: 1.93
010AppleKextExcludeList.kext: 21.0.0
011/usr/bin/sudo /usr/bin/xprotect check
012Current update: date: 2026-02-10 19:18:34 +0000 version: 5329
013/usr/bin/xprotect  version
014Version: 5327 Installed: 2026-02-04 04:01:39 +0000
015/usr/bin/sudo /usr/bin/xprotect update
016Starting update.
017Update succeeded: Activated update CloudKitUpdate[v5329 - current @ 2026-02-10 19:18:34 +0000]
018/usr/bin/sudo /usr/bin/xprotect check
019Current update: date: 2026-02-10 19:18:34 +0000 version: 5329
020/usr/bin/xprotect version
021Version: 5329 Installed: 2026-02-11 02:21:53 +0000
022/usr/bin/xprotect status
023XProtect launch scans: enabled
024XProtect background scans: enabled
025/usr/sbin/softwareupdate --list --recommended --include-config-data
0262026-02-11T02:21:53Z
027Software Update Tool
028
029Finding available software
030Software Update found the following new or updated software:
031* Label: XProtectPlistConfigData_10_15-5329
032  Title: XProtectPlistConfigData, Version: 5329, Size: 1249KiB, Recommended: YES, 
0332026-02-11T02:21:59Z
034/usr/sbin/softwareupdate --download --recommended --include-config-data
0352026-02-11T02:21:59Z
036Software Update Tool
AppleScriptで生成しました
XProtectはマルウェアから、利用者を守ろうとする仕組みです
たとえば
ルールファイルがあります
サンプルソース（参考）
行番号ソース
001/private/var/protected/xprotect/XProtect.bundle/Contents/Resources/XPScripts.yr
002/Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XPScripts.yr
AppleScriptで生成しました
１MB以下のapplescriptでブラウザを全て参照して
クッキーを取得するような物はマルウェアって判定しています
署名のチェックはGateKeeper マルウェアはXProtectです

/Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XPScripts.yr
を
テキストエディタで開いて確認するとどのような
AppleScriptを利用したマルウェアがあって何をしようとしているのか？
だいたいわかってくると思います

情報取得系とCURLを使った２次処理系に/LaunchDaemonsに登録するようなものが登録されていますが
思っていたほど数は多く無いです２０点に届かない程度の数です
もう少しあるような気もするけど、これだけ見ても、MacOSをターゲットにしたマルウェアは少ないと言って良いでしょう。
でも
『あるので』注意はやっぱり必要です

もう一つがyaraルール

サンプルソース（参考）
行番号ソース
001/Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XProtect.yara 
002/private/var/protected/xprotect/XProtect.bundle/Contents/Resources/XProtect.yara
AppleScriptで生成しました

こちらは主に『バイナリー』の解析ものが多いですね
こちらは３００点ぐらい登録されています。

Gatekeeperの警告『開発元を識別できない…』を無視して
よくわからないバイナリーやアプリケーションを実行するのは
見知らぬ人に家の鍵を預けて、中身を自由に見てもいいよと言うのと同じになる『場合がある』わけで
その後で
Xprotectが内容を精査するけど
３００種類ぐらいのものなので全てに対応しているわけでもありません
普段からのセキュリティに対しての意識が大切ですね

macOS26.3直後のセキュリティアップデート

サンプルソース（参考）
行番号ソース
001zsh $
002zsh $
003zsh $ /bin/date;/usr/sbin/softwareupdate --list --recommended --include-config-data;/bin/date;
0042026年 2月12日 木曜日 17時58分02秒 JST
005Software Update Tool
006
007Finding available software
008
009Software Update found the following new or updated software:
010* Label: MRTConfigData_10_15-1.93
011  Title: MRTConfigData, Version: 1.93, Size: 4595KiB, Recommended: YES, 
012* Label: XProtectPlistConfigData_10_15-5329
013  Title: XProtectPlistConfigData, Version: 5329, Size: 1249KiB, Recommended: YES, 
014* Label: GatekeeperCompatibilityData-1.0
015  Title: Gatekeeper Compatibility Data, Version: 1.0, Size: 7108KiB, Recommended: YES, 
016* Label: XProtectPayloads_10_15-156
017  Title: XProtectPayloads, Version: 156,  Size: 23594KiB, Recommended: YES, 
0182026年 2月12日 木曜日 17時58分04秒 JST
019zsh $
020zsh $
021zsh $
022zsh $ /bin/date;/usr/sbin/softwareupdate --install --recommended --include-config-data;/bin/date;
0232026年 2月12日 木曜日 17時58分13秒 JST
024Software Update Tool
025
026Finding available software
027
028Downloading XProtectPayloads
029Downloading MRTConfigData
030Downloading XProtectPlistConfigData
031Downloading Gatekeeper Compatibility Data
032Downloaded MRTConfigData
033Downloaded XProtectPlistConfigData
034Downloaded XProtectPayloads
035Downloaded Gatekeeper Compatibility Data
036Installing XProtectPayloads, MRTConfigData, XProtectPlistConfigData, Gatekeeper Compatibility Data
037Done with XProtectPayloads
038Done with MRTConfigData
039Done with XProtectPlistConfigData
040Done with Gatekeeper Compatibility Data
041Done.
0422026年 2月12日 木曜日 17時58分35秒 JST
043zsh $
044zsh $
045zsh $
AppleScriptで生成しました
登録: コメント (Atom)