ラベル XProtect の投稿を表示しています。 すべての投稿を表示
ラベル XProtect の投稿を表示しています。 すべての投稿を表示

20260331

XProtectアップデート　 XProtectPlistConfigData_10_15-5336


XProtectアップデート　 XProtectPlistConfigData_10_15-5336

NOTE記事一覧ですnote.com
Read more »

20260317

XProtectアップデート 5334


XProtectアップデート　 XProtectPlistConfigData_10_15-5334

Read more »

20260310

XProtectアップデート 5333


サンプルソース（参考）
行番号ソース
001#!/bin/zsh --no-rcs
002#set -x
003#export PATH=/usr/bin:/bin:/usr/sbin:/sbin
004#com.cocolog-nifty.quicktimer.icefloe
005#################################################
006
007Last login: Wed Mar 11 12:29:54 on ttys000
008zsh $
009zsh $
010zsh $
011OSver: 26.3
012CUPS: 2.3.4
013iCloud XProtect: /private/var/protected/xprotect
014In var XProtect.bundle Ver: 5333
015Legacy XProtect: /Library/Apple/System/Library/CoreServices
016In Library XProtect.bundle Ver: 5332
017XProtect.app: 157
018XProtectPluginService.xpc: 74
019MRT.app: 1.93
020AppleKextExcludeList.kext: 21.0.0
021/usr/bin/sudo /usr/bin/xprotect check
022Current update: date: 2026-03-10 23:10:48 +0000 version: 5333
023/usr/bin/xprotect  version
024Version: 5333 Installed: 2026-03-11 03:19:31 +0000
025/usr/bin/sudo /usr/bin/xprotect update
026Starting update.
027No update applied, already up to date
028/usr/bin/sudo /usr/bin/xprotect check
029Current update: date: 2026-03-10 23:10:48 +0000 version: 5333
030/usr/bin/xprotect version
031Version: 5333 Installed: 2026-03-11 03:19:31 +0000
032/usr/bin/xprotect status
033XProtect launch scans: enabled
034XProtect background scans: enabled
035/usr/sbin/softwareupdate --list --recommended --include-config-data
0362026-03-11T03:30:12Z
037Software Update Tool
038
039Finding available software
040Software Update found the following new or updated software:
041* Label: XProtectPlistConfigData_10_15-5333
042  Title: XProtectPlistConfigData, Version: 5333, Size: 1250KiB, Recommended: YES,
0432026-03-11T03:30:18Z
044/usr/sbin/softwareupdate --download --recommended --include-config-data
0452026-03-11T03:30:18Z
046Software Update Tool
047
048Finding available software
049
050Downloading XProtectPlistConfigData
051Downloaded XProtectPlistConfigData
052Done.
0532026-03-11T03:30:27Z
054softwareupdateを実行します、最大２時間かかるケースもあります
055softwareupdate開始: 2026年 3月11日 水曜日 12時30分27秒 JST
056/usr/bin/sudo /usr/sbin/softwareupdate --install --recommended --include-config-data
057Software Update Tool
058
059Finding available software
060
061Downloaded XProtectPlistConfigData
062Installing XProtectPlistConfigData
063Done with XProtectPlistConfigData
064Done.
065softwareupdate終了: 2026年 3月11日 水曜日 12時30分37秒 JST
066
067スキャン開始します　少し時間がかかります(約１０分)
068スキャン開始: 2026年 3月11日 水曜日 12時30分37秒 JST
069/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtect
070スキャン終了しました
071スキャン終了: 2026年 3月11日 水曜日 12時39分57秒 JST
072Starting update.
073No update applied, already up to date
074In var XProtect.bundle Ver: 5333
075In Library XProtect.bundle Ver: 5333
076XprotectAppVer: 157
077XPC: 74
078MRT: 1.93
079AppleKextExcludeList: 21.0.0
080zsh $
081zsh $
082zsh $
AppleScriptで生成しました

20260304

XProtectアップデート 5332


サンプルソース（参考）
行番号ソース
001#!/bin/zsh --no-rcs
002#set -x
003#export PATH=/usr/bin:/bin:/usr/sbin:/sbin
004#com.cocolog-nifty.quicktimer.icefloe
005#################################################
006
007
008zsh $
009zsh $
010zsh $ /usr/sbin/softwareupdate --list --include-config-data
011Software Update Tool
012
013Finding available software
014Software Update found the following new or updated software:
015* Label: XProtectPlistConfigData_10_15-5332
016  Title: XProtectPlistConfigData, Version: 5332, Size: 1250KiB, Recommended: YES,
017zsh $
018
019
020
021zsh $
022zsh $
023zsh $ /bin/date; /usr/sbin/softwareupdate --install --recommended --include-config-data; /bin/date
0242026年 3月 5日 木曜日 13時20分15秒 JST
025Software Update Tool
026
027Finding available software
028
029Downloading XProtectPlistConfigData
030Downloaded XProtectPlistConfigData
031Installing XProtectPlistConfigData
032Done with XProtectPlistConfigData
033Done.
0342026年 3月 5日 木曜日 13時20分24秒 JST
035zsh $
036zsh $
037zsh $
AppleScriptで生成しました

20260217

XProtectアップデート　5330


これを書いている時点では
com.apple.SoftwareUpdateの設定で restrict-software-update-require-admin-to-installの設定をTRUEにしていると
/usr/sbin/softwareupdate --download
/usr/sbin/softwareupdate --install
の
コマンドは失敗する（ストールする）
"/Library/Preferences/com.apple.SoftwareUpdate.plist"
と
"/Library/Managed Preferences/com.apple.SoftwareUpdate.plist"
の
両方に設定があるが
設定値を変更してもMDMのロードが有効なようで
softwareupdateコマンドは失敗する

サンプルソース（参考）
行番号ソース
001アップデートは２系統
002xprotectとsoftwareupdateです
003まずは
004xprotect
005#アップデート前
006#チェック
007/usr/bin/sudo /usr/bin/xprotect check
008#バージョン
009/usr/bin/xprotect version
010#アップデート
011/usr/bin/sudo /usr/bin/xprotect update
012#アップデート後
013#チェック
014/usr/bin/sudo /usr/bin/xprotect check
015#バージョン
016/usr/bin/xprotect version
017#ステータス
018/usr/bin/xprotect status
019
020softwareupdateは
021#リスト
022/usr/sbin/softwareupdate --list --recommended --include-config-data
023#ダウンロード
024/usr/sbin/softwareupdate --download --recommended --include-config-data
025#インストール
026/usr/bin/sudo /usr/sbin/softwareupdate --install --recommended --include-config-data
AppleScriptで生成しました
ログ
サンプルソース（参考）
行番号ソース
001
002OSver: 26.3
003CUPS: 2.3.4
004iCloud XProtect: /private/var/protected/xprotect
005In var XProtect.bundle Ver: 5330
006Legacy XProtect: /Library/Apple/System/Library/CoreServices
007In Library XProtect.bundle Ver: 5329
008XProtect.app: 156
009XProtectPluginService.xpc: 74
010MRT.app: 1.93
011AppleKextExcludeList.kext: 21.0.0
012/usr/bin/sudo /usr/bin/xprotect check
013Current update: date: 2026-02-18 00:55:01 +0000 version: 5330
014/usr/bin/xprotect  version
015Version: 5330 Installed: 2026-02-18 01:15:56 +0000
016/usr/bin/sudo /usr/bin/xprotect update
017Starting update.
018No update applied, already up to date
019/usr/bin/sudo /usr/bin/xprotect check
020Current update: date: 2026-02-18 00:55:01 +0000 version: 5330
021/usr/bin/xprotect version
022Version: 5330 Installed: 2026-02-18 01:15:56 +0000
023/usr/bin/xprotect status
024XProtect launch scans: enabled
025XProtect background scans: enabled
026/usr/sbin/softwareupdate --list --recommended --include-config-data
0272026-02-18T01:18:48Z
028Software Update Tool
029
030Finding available software
031Software Update found the following new or updated software:
032* Label: XProtectPlistConfigData_10_15-5330
033  Title: XProtectPlistConfigData, Version: 5330, Size: 1249KiB, Recommended: YES,
034* Label: XProtectPayloads_10_15-157
035  Title: XProtectPayloads, Version: 157, Size: 23593KiB, Recommended: YES,
0362026-02-18T01:18:54Z
037/usr/sbin/softwareupdate --download --recommended --include-config-data
0382026-02-18T01:18:54Z
039Software Update Tool
040
041Finding available software
042
043Downloading XProtectPlistConfigData
044Downloading XProtectPayloads
045Downloaded XProtectPlistConfigData
046Downloaded XProtectPayloads
047Done.
0482026-02-18T01:19:07Z
049softwareupdateを実行します、最大２時間かかるケースもあります
050softwareupdate開始: 2026年 2月18日 水曜日 10時19分07秒 JST
051/usr/bin/sudo /usr/sbin/softwareupdate --install --recommended --include-config-data
052Software Update Tool
053
054Finding available software
055
056Downloaded XProtectPlistConfigData
057Downloaded XProtectPayloads
058Installing XProtectPlistConfigData, XProtectPayloads
059Done with XProtectPlistConfigData
060Done with XProtectPayloads
061Done.
062softwareupdate終了: 2026年 2月18日 水曜日 10時19分19秒 JST
063
064スキャン開始します　少し時間がかかります(約１０分)
065スキャン開始: 2026年 2月18日 水曜日 10時19分20秒 JST
066/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtect
067スキャン終了しました
068スキャン終了: 2026年 2月18日 水曜日 10時19分20秒 JST
069Starting update.
070No update applied, already up to date
071In var XProtect.bundle Ver: 5330
072In Library XProtect.bundle Ver: 5330
073XprotectAppVer: 157
074XPC: 74
075MRT: 1.93
076AppleKextExcludeList: 21.0.0
077zsh $
AppleScriptで生成しました

XProtectアップデート　5329 ／ macOS26.3 アップデート


前回の5327から１つ飛ばして5329です
XProtect.bundleは２箇所にあります
通常系とiCloud系です
/Library/Apple/System/Library/CoreServices/XProtect.bundle
/private/var/protected/xprotect/XProtect.bundle

アップデートは２系統
xprotectとsoftwareupdateです
まずは
xprotect

サンプルソース（参考）
行番号ソース
001アップデートは２系統
002xprotectとsoftwareupdateです
003まずは
004xprotect
005
006#アップデート前
007#チェック
008/usr/bin/sudo /usr/bin/xprotect check
009#バージョン
010/usr/bin/xprotect version
011#アップデート
012/usr/bin/sudo /usr/bin/xprotect update
013
014#アップデート後
015#チェック
016/usr/bin/sudo /usr/bin/xprotect check
017#バージョン
018/usr/bin/xprotect version
019#ステータス
020/usr/bin/xprotect status
AppleScriptで生成しました
softwareupdateは
サンプルソース（参考）
行番号ソース
001#リスト
002/usr/sbin/softwareupdate --list --recommended --include-config-data
003#ダウンロード
004/usr/sbin/softwareupdate --download --recommended --include-config-data
005#インストール
006/usr/bin/sudo /usr/sbin/softwareupdate --install --recommended --include-config-data
AppleScriptで生成しました
ログ
サンプルソース（参考）
行番号ソース
001OSver: 26.2
002CUPS: 2.3.4
003iCloud XProtect: /private/var/protected/xprotect
004In var XProtect.bundle Ver: 5327
005Legacy XProtect: /Library/Apple/System/Library/CoreServices
006In Library XProtect.bundle Ver: 5327
007XProtect.app: 156
008XProtectPluginService.xpc: 74
009MRT.app: 1.93
010AppleKextExcludeList.kext: 21.0.0
011/usr/bin/sudo /usr/bin/xprotect check
012Current update: date: 2026-02-10 19:18:34 +0000 version: 5329
013/usr/bin/xprotect  version
014Version: 5327 Installed: 2026-02-04 04:01:39 +0000
015/usr/bin/sudo /usr/bin/xprotect update
016Starting update.
017Update succeeded: Activated update CloudKitUpdate[v5329 - current @ 2026-02-10 19:18:34 +0000]
018/usr/bin/sudo /usr/bin/xprotect check
019Current update: date: 2026-02-10 19:18:34 +0000 version: 5329
020/usr/bin/xprotect version
021Version: 5329 Installed: 2026-02-11 02:21:53 +0000
022/usr/bin/xprotect status
023XProtect launch scans: enabled
024XProtect background scans: enabled
025/usr/sbin/softwareupdate --list --recommended --include-config-data
0262026-02-11T02:21:53Z
027Software Update Tool
028
029Finding available software
030Software Update found the following new or updated software:
031* Label: XProtectPlistConfigData_10_15-5329
032  Title: XProtectPlistConfigData, Version: 5329, Size: 1249KiB, Recommended: YES, 
0332026-02-11T02:21:59Z
034/usr/sbin/softwareupdate --download --recommended --include-config-data
0352026-02-11T02:21:59Z
036Software Update Tool
AppleScriptで生成しました
XProtectはマルウェアから、利用者を守ろうとする仕組みです
たとえば
ルールファイルがあります
サンプルソース（参考）
行番号ソース
001/private/var/protected/xprotect/XProtect.bundle/Contents/Resources/XPScripts.yr
002/Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XPScripts.yr
AppleScriptで生成しました
１MB以下のapplescriptでブラウザを全て参照して
クッキーを取得するような物はマルウェアって判定しています
署名のチェックはGateKeeper マルウェアはXProtectです

/Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XPScripts.yr
を
テキストエディタで開いて確認するとどのような
AppleScriptを利用したマルウェアがあって何をしようとしているのか？
だいたいわかってくると思います

情報取得系とCURLを使った２次処理系に/LaunchDaemonsに登録するようなものが登録されていますが
思っていたほど数は多く無いです２０点に届かない程度の数です
もう少しあるような気もするけど、これだけ見ても、MacOSをターゲットにしたマルウェアは少ないと言って良いでしょう。
でも
『あるので』注意はやっぱり必要です

もう一つがyaraルール

サンプルソース（参考）
行番号ソース
001/Library/Apple/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XProtect.yara 
002/private/var/protected/xprotect/XProtect.bundle/Contents/Resources/XProtect.yara
AppleScriptで生成しました

こちらは主に『バイナリー』の解析ものが多いですね
こちらは３００点ぐらい登録されています。

Gatekeeperの警告『開発元を識別できない…』を無視して
よくわからないバイナリーやアプリケーションを実行するのは
見知らぬ人に家の鍵を預けて、中身を自由に見てもいいよと言うのと同じになる『場合がある』わけで
その後で
Xprotectが内容を精査するけど
３００種類ぐらいのものなので全てに対応しているわけでもありません
普段からのセキュリティに対しての意識が大切ですね

macOS26.3直後のセキュリティアップデート

サンプルソース（参考）
行番号ソース
001zsh $
002zsh $
003zsh $ /bin/date;/usr/sbin/softwareupdate --list --recommended --include-config-data;/bin/date;
0042026年 2月12日 木曜日 17時58分02秒 JST
005Software Update Tool
006
007Finding available software
008
009Software Update found the following new or updated software:
010* Label: MRTConfigData_10_15-1.93
011  Title: MRTConfigData, Version: 1.93, Size: 4595KiB, Recommended: YES, 
012* Label: XProtectPlistConfigData_10_15-5329
013  Title: XProtectPlistConfigData, Version: 5329, Size: 1249KiB, Recommended: YES, 
014* Label: GatekeeperCompatibilityData-1.0
015  Title: Gatekeeper Compatibility Data, Version: 1.0, Size: 7108KiB, Recommended: YES, 
016* Label: XProtectPayloads_10_15-156
017  Title: XProtectPayloads, Version: 156,  Size: 23594KiB, Recommended: YES, 
0182026年 2月12日 木曜日 17時58分04秒 JST
019zsh $
020zsh $
021zsh $
022zsh $ /bin/date;/usr/sbin/softwareupdate --install --recommended --include-config-data;/bin/date;
0232026年 2月12日 木曜日 17時58分13秒 JST
024Software Update Tool
025
026Finding available software
027
028Downloading XProtectPayloads
029Downloading MRTConfigData
030Downloading XProtectPlistConfigData
031Downloading Gatekeeper Compatibility Data
032Downloaded MRTConfigData
033Downloaded XProtectPlistConfigData
034Downloaded XProtectPayloads
035Downloaded Gatekeeper Compatibility Data
036Installing XProtectPayloads, MRTConfigData, XProtectPlistConfigData, Gatekeeper Compatibility Data
037Done with XProtectPayloads
038Done with MRTConfigData
039Done with XProtectPlistConfigData
040Done with Gatekeeper Compatibility Data
041Done.
0422026年 2月12日 木曜日 17時58分35秒 JST
043zsh $
044zsh $
045zsh $
AppleScriptで生成しました
登録: コメント (Atom)