インド政府は、AppleのmacOSがサードパーティーソフトウェアを使用せずにマルウェアを検出し削除できると発表しました。Appleは継続的に新しいマルウェア検出ルールをMacの内蔵XProtectスイートに追加しているということです。
XProtectは2009年にmacOS X 10.6 Snow Leopardの一部として導入されました。当初はインストールファイルでマルウェアが発見された場合にユーザーに警告する機能がありましたが、最近では大幅に進化しています。2022年4月に長年使用されていたMalware Removal Tool（MRT）が廃止され、新たにXProtectRemediator（XPR）が導入されました。XPRはより高度なネイティブのアンチマルウェアコンポーネントで、Mac上の脅威を検出し対処する役割を担っています。
XProtectスイートはYaraシグネチャベースの検出を利用してマルウェアを識別します。Yaraはオープンソースのツールで、特定の特徴やコード、メタデータのパターンに基づいてファイルを識別することができます。
macOS 15 Sequoiaでは、XProtectスイートは3つの主要なコンポーネントで構成されています。AppleはXProtectで一般的なマルウェア名を覆い隠すために、内部的な命名規則を使用しています。これは正当な理由があるものの、XProtectが具体的にどのマルウェアを識別できるかを知ることは難しくなっています。
例えば、XProtect_MACOS_PIRRIT_GENという名前のYaraルールはPirritアドウェアを検出するためのシグネチャですが、XProtectではより一般的なルールや、Appleのエンジニアのみが知る内部シグネチャが多く見られます。このような状況で、セキュリティ研究者のフィル・ストークス氏やオールデン氏が活躍しています。
フィル・ストークス氏はSentinel One Labsで、Appleが使用する覆い隠されたシグネチャを、ベンダーやVirusTotalのような公開マルウェアスキャナーで使用される一般的な名前にマッピングするGitHubリポジトリを管理しています。さらに、オールデン氏は最近、XPRの動作を理解する上で重要な進展を遂げ、スキャンモジュールのバイナリからYaraルールを抽出しました。
現在、XProtect Remediator v156には25のスキャンモジュールが存在し、そのうち23のリメディエータが特定されています。これらのモジュールのほとんどはAppleの内部命名規則を使用しており、スキャンや修復を行う際にユーザーに通知しない方針です。
記事をお読みいただきありがとうございます。未特定のモジュールに関する情報をお持ちの方は、コメントまたはメールでお知らせください。
