Keks1993
commented
2 months ago "-nospawn.*-xml SPHardwareDataType(SPNetworkDataType,SPUSBDataType) -detailLevel full" это что-то легитимное, system_profiler, часть утилит для разработки.
Вторая утилита верна определена.
А вообще здесь был список из следующих популярных техник получения информации о системе. Tasks = {
user
"id",
"uname",
"who",
"dscl . -read \"/Users/$(id -un)\" RealName",hardware
"ioreg -c IOPlatformExpertDevice -d 2",
"ioreg -rd1 -w0 -c AppleAHCIDiskDriver",
"diskutil list",
"sysctl -n hw.model",
"sysctl -n machdep.cpu.brand_string; hostinfo | grep memory;",
"system_profiler SPHardwareDataType",
"system_profiler SPUSBDataType",
"cat /proc/cpuinfo",
"cat /proc/meminfo",software
"launchctl list",
"ps ax",os
"sw_vers -productName",
"sw_vers -productVersion",
"sw_vers -buildVersion",
"sysctl kern.hostname",
"csrutil status",network
"system_profiler SPNetworkDataType",
"networksetup -listallhardwareports",
"networksetup -getinfo Wi-Fi",
"ifconfig -a"}
sn1permanky
Добавил детект Bundlore.
При анализе сырых логов обратил внимание на то, что вводятся несколько раз команды c используемым синтаксисом вида: -nospawn.*-xml SPHardwareDataType(SPNetworkDataType,SPUSBDataType) -detailLevel full а также команды
Решил построить логику на них.
Специально не стал указывать, то что они начали работать после запуска cкрипта на Python, так как они также реализуемы через bash, а это лишнее усложнение логики
Фолзы почти нереальны(как я полагаю), так как выбран маленький промежуток времени для введения команд. Возможно единичные случаи при работы диагностических скриптов.
Остальные команды не указывал, так как они могут использоваться для базового траблшутинга, и не являются такими яркими маркерами, если верить исследованиям по Bundlore.
В целом можно скрипт расширить для реагирования и на Shlayer cемейство и добавить возможное использование обфусцированного кода, но это уже более сложное решение.