KnockKnock

KnockKnock est l’outil macOS d’inspection de persistance de l’Objective-See Foundation. Il recense les logiciels lancés automatiquement au démarrage, à la connexion ou au lancement d’autres applications pour aider utilisateurs et analystes à examiner ce qui reste installé sur un Mac. Il aide l’enquête sans garantir l’absence de logiciel malveillant.

Résultats d’analyse

Les catégories incluent tâches de fond gérées, éléments de lancement, tâches cron, extensions de navigateur et autres mécanismes de persistance. Une catégorie affiche chemins, signatures, détails et accès au Finder. La version 4 ajoute l’inspection des configurations shell et le démarrage facultatif à la connexion ; 4.1.0 étend le recensement et la gestion des substitutions launchd.

Les éléments connus de la plateforme et ceux signés par Apple sont filtrés par défaut. Les logiciels tiers légitimes restent affichés. Un élément recensé n’est pas un verdict malveillant ; un résultat VirusTotal absent ou inconnu ne prouve rien de tel. Examinez éditeur, chemin, rôle et comportement avant d’agir.

Enregistrez les résultats en JSON et comparez une analyse actuelle terminée à une précédente pour repérer ajouts, suppressions et modifications. Le bundle fournit également un mode en ligne de commande. Une analyse élevée peut couvrir d’autres zones, telles que les tâches cron d’autres utilisateurs. 4.1.0 ajoute une préférence d’exécution permanente en root tout en conservant les préférences et chemins pertinents de l’utilisateur de console.

Installation et compatibilité

Téléchargez le ZIP officiel, extrayez-le et ouvrez KnockKnock.app. L’éditeur indique une exécution depuis n’importe quel emplacement sans installation distincte ; brew install --cask knockknock copie l’application. La page officielle exige macOS 10.15 ou ultérieur. Le ZIP officiel 4.1.0 a été extrait sans lancer ni installer l’app. Son exécutable Mach-O universel vérifié comporte x86_64 et arm64 pour Intel et Apple Silicon ; Info.plist confirme macOS 10.15.

La publication GitHub officielle 4.1.0 indique un ZIP de 2,552,206 octets et une somme SHA-256. Le cask ne déclare ni dépendance formula supplémentaire ni conflit nommé. La couverture peut exiger Accès complet au disque, que l’app peut proposer d’accorder dans Réglages Système. Les droits administrateur/root concernent l’analyse élevée ou la préférence explicite ; ils ne justifient pas l’élévation aveugle de tout outil téléchargé.

VirusTotal, comptes et confidentialité

VirusTotal est facultatif et configurable. Fournissez votre clé API VirusTotal pour les recherches de réputation par hachage et respectez quotas et conditions. Aucun compte Objective-See obligatoire n’est décrit pour l’inspection locale. Désactivez VirusTotal pour éviter ses requêtes et les mises à jour automatiques si votre politique l’exige.

Recherche de hachage et téléversement sont distincts : la réputation transmet le hachage d’un binaire ; la soumission explicite d’un fichier inconnu envoie le fichier lui-même. Ne transmettez pas de fichiers confidentiels, propriétaires ou personnels sans comprendre la politique de partage. 4.0.3 laisse les cases de soumission décochées initialement. Les exports JSON peuvent révéler applications, chemins et détails système sensibles ; protégez-les avant partage.

Prix, licence et interprétation

KnockKnock est gratuit et son dépôt source sous GNU GPL version 3. La Foundation accepte dons et parrainages. VirusTotal et les autres services ont leurs conditions. Cet outil ne remplace ni sauvegardes, ni expertise de réponse aux incidents, ni politique de sécurité globale.

Signature et notarisation donnent des indices de provenance sans régler toutes les questions. Un interpréteur shell ou Python persistant peut exécuter un script distinct à examiner même si l’interpréteur est signé. Ne supprimez pas agents de lancement, bibliothèques ou réglages inconnus sans vérifier propriétaire, rôle et possibilité de restauration.

Sources: Official product and usage guide, Publisher source, 4.1.0 release, License.