T1543.001: 启动代理

摘要

攻击者可能创建或修改启动代理，以作为持久化的一部分反复执行恶意载荷。当用户登录时，会启动一个每用户 launchd 进程，它从 <code>/System/Library/LaunchAgents</code>、<code>/Library/LaunchAgents</code> 和 <code>~/Library/LaunchAgents</code> 中的属性列表（.plist）文件加载每个按需启动用户代理的参数。(Citation: AppleDocs Launch Agent Daemons)(Citation: OSX Keydnap malware) (Citation: Antiquated Mac Malware) 属性列表文件使用 <code>Label</code>、<code>ProgramArguments </code> 和 <code>RunAtLoad</code> 键来标识启动代理的名称、可执行文件位置和执行时间。(Citation: OSX.Dok Malware) 启动代理通常被安装用于执行程序更新、在登录时启动用户指定的程序，或执行其他开发人员任务。 启动代理也可以使用 [Launchctl](https://attack.mitre.org/techniques/T1569/001) 命令执行。 攻击者可能通过将 .plist 文件放入适当的文件夹并设置 <code>RunAtLoad</code> 或 <code>KeepAlive</code> 键为 <code>true</code>，安装一个在登录时执行的新启动代理。(Citation: Sofacy Komplex Trojan)(Citation: Methods of Mac Malware Persistence) 启动代理名称可能通过使用相关操作系统或良性软件的名称来伪装。启动代理以用户级权限创建，并以用户级权限执行。(Citation: OSX Malware Detection)(Citation: OceanLotus for OS X)