T1564.009: 资源分支（Resource Forking）

摘要

攻击者可能滥用资源分支来隐藏恶意代码或可执行文件，以逃避检测并绕过安全应用程序。资源分支为应用程序提供了一种结构化方式来存储资源，例如缩略图、菜单定义、图标、对话框和代码。(Citation: macOS Hierarchical File System Overview) 使用 <code>ls -l@</code> 或 <code>xattr -l</code> 命令显示文件的扩展属性时，可以识别出资源分支的使用。资源分支已被弃用，并被应用程序包结构所取代。非本地化资源放置在应用程序包的顶层目录中，而本地化资源放置在 <code>/Resources</code> 文件夹中。(Citation: Resource and Data Forks)(Citation: ELC Extended Attributes) 攻击者可以利用资源分支来隐藏原本可能直接存储在文件中的恶意数据。攻击者可以在指定偏移处执行带有附加资源分支的内容，该内容会被移动到可执行位置然后被调用。资源分支内容也可能在执行前被混淆/加密。(Citation: sentinellabs resource named fork 2020)(Citation: tau bundlore erika noerenberg 2020)