با تغییر معماری سخت‌افزاری اپل از اینتل (x86_64) به Apple Silicon (ARM64) و سخت‌گیرانه‌تر شدن مدل‌های امنیتی سیستم‌عامل، نیاز به ابزارهای تحلیل پیشرفته‌تر احساس شد. در پاسخ به این تغییرات، ابزار macOS Mirage به عنوان یک سندباکس (Sandbox) تحلیل پویا (Dynamic Analysis) معرفی شده است که به طور بومی برای ARM64 و macOS 26 طراحی شده تا جایگزین ابزارهای قدیمی شود.
چرا به macOS Mirage نیاز بود؟
سندباکس‌های قدیمی بر پایه اسکریپت‌های dtrace برای نظارت بر System Callها عمل می‌کردند، اما دو تغییر ساختاری در macOS این رویکرد را ناکارآمد کرد:
- اجرای بومی ARM64: بدافزارهای مدرن macOS اکنون به صورت بومی برای Apple Silicon یا در قالب Universal Mach-O توزیع می‌شوند. اجرای این نمونه‌ها روی سخت‌افزارهای قدیمی اینتل منجر به شکست در اجرا یا نادیده گرفتن مسیرهای اجرایی خاص معماری ARM می‌شود. macOS Mirage روی سخت‌افزار bare-metal اجرا می‌شود تا دقت تحلیل را تضمین کند.
- تله‌متری (Telemetry) مبتنی بر کرنل: قابلیت System Integrity Protection (SIP) در نسخه‌های جدید، دسترسی‌های dtrace را محدود کرده است. macOS Mirage از ابزارهای امنیتی مدرن و پشتیبانی شده توسط کرنل برای ثبت ایجاد فرآیندها (Process Creation)، آرگومان‌های خط فرمان، تغییرات سیستم فایل و نصب مکانیزم‌های پایداری (Persistence) استفاده می‌کند.
شناسایی‌های رفتاری با استفاده از قوانین Sigma
برای جلوگیری از بررسی هزاران رویداد خام، macOS Mirage تله‌متری‌های زمان اجرا را با کتابخانه‌ای از قوانین Sigma تطبیق داده و هر شناسایی را مستقیماً به تکنیک‌های MITRE ATT&CK نگاشت می‌کند. به عنوان مثال، در تحلیل یک بدافزار سرقت اطلاعات (Info-stealer)، این ابزار زنجیره حملات زیر را شناسایی کرد:
- فیشینگ اعتبارنامه‌ها: استفاده از
osascriptبرای نمایش پنجره جعلی درخواست رمز عبور. - پایداری در سیستم: کپی کردن فایل‌های تنظیمات در مسیر
/Library/LaunchDaemons/برای اجرای خودکار. - سرقت داده‌ها: دسترسی غیرمجاز به Keychain، کوکی‌های مرورگر Safari، پایگاه داده Apple Notes و کلیدهای SSH.
- برون‌رسانی (Exfiltration): فشرده‌سازی داده‌های سرقت شده با ابزار
dittoو ارسال آن‌ها از طریق درخواست‌های HTTP POST.
تحلیل تعاملی زنده (Interactive Live Analysis)
بسیاری از تهدیدات پیشرفته macOS برای اجرای کامل، نیاز به تعامل انسانی دارند (مانند کلیک بر روی دکمه‌های یک نصب‌کننده سفارشی یا وارد کردن رمز عبور برای باز کردن یک Image دیسک). قابلیت Interactive Live Analysis به تحلیل‌گران اجازه می‌دهد تا به صورت زنده در محیط دسکتاپ macOS 26 حضور یافته و با موس و کیبورد با برنامه مشکوک تعامل داشته باشند. این قابلیت همچنین امکان مدیریت شبکه (مانند استفاده از Tor یا HTTPS MITM) و ارسال دستورات از طریق Clipboard را فراهم می‌کند.
قابلیت‌های کلیدی در یک نگاه
این ابزار اکنون قادر است طیف گسترده‌ای از فایل‌ها از جمله .dmg، .pkg، .app و اسکریپت‌های .sh و .py را تحلیل کند. همچنین نظارت دقیقی بر مکان‌های حساس سیستم مانند LaunchAgents، پروفایل‌های محیطی (مثلاً .zshrc) و پایگاه داده‌های TCC (Transparency, Consent, and Control) دارد تا هرگونه تلاش برای تغییر تنظیمات سیستمی یا دسترسی به حریم خصوصی کاربر را ثبت نماید.
