T1546.014: Emond

摘要

攻击者可能通过执行由事件监视守护进程（emond）触发的恶意内容来获得持久化并提升权限。Emond 是一个[启动守护进程](https://attack.mitre.org/techniques/T1543/004)，它接受来自各种服务的事件，通过一个简单的规则引擎运行它们，并采取行动。<code>/sbin/emond</code> 处的 emond 二进制文件将从 <code>/etc/emond.d/rules/</code> 目录加载任何规则，并在明确定义的事件发生时采取行动。 规则文件为 plist 格式，定义名称、事件类型和要采取的行动。事件类型的一些示例包括系统启动和用户身份验证。行动的示例包括运行系统命令或发送电子邮件。如果在 <code>/System/Library/LaunchDaemons/com.apple.emond.plist</code> 处的[启动守护进程](https://attack.mitre.org/techniques/T1543/004)配置文件中指定的 QueueDirectories 路径 <code>/private/var/db/emondClients</code> 中不存在任何文件，则 emond 服务将不会启动。(Citation: xorrior emond Jan 2018)(Citation: magnusviri emond Apr 2016)(Citation: sentinelone macos persist Jun 2019) 攻击者可能通过编写规则来滥用此服务，以在定义的事件（如系统启动或用户身份验证）发生时执行命令。(Citation: xorrior emond Jan 2018)(Citation: magnusviri emond Apr 2016)(Citation: sentinelone macos persist Jun 2019) 攻击者还可能能够将权限从管理员提升到 root，因为 emond 服务由[启动守护进程](https://attack.mitre.org/techniques/T1543/004)服务以 root 权限执行。