T1149: LC_MAIN 劫持

摘要

**此技术已被弃用，不应再使用。** 自 OS X 10.8 起，mach-O 二进制文件引入了一个名为 LC_MAIN 的新头部，指向二进制文件的执行入口点。此前有两个头部可实现相同效果：LC_THREAD 和 LC_UNIXTHREAD (Citation: Prolific OSX Malware History)。可以劫持二进制文件的入口点，使初始执行流程转向恶意附加内容（另一个区段或代码洞），然后再返回原始入口点，这样受害者不会察觉有任何不同 (Citation: Methods of Mac Malware Persistence)。通过这种方式修改二进制文件，可以绕过应用程序白名单，因为文件名或应用程序路径仍然相同。