T1037.005: 启动项

摘要

攻击者可能使用在引导初始化时自动执行的启动项来建立持久化。启动项在引导过程的最后阶段执行，包含 shell 脚本或其他可执行文件，以及系统用于确定所有启动项执行顺序的配置信息。(Citation: Startup Items) 从技术上讲，这是一种已被弃用的技术（已被[启动守护程序](https://attack.mitre.org/techniques/T1543/004)取代），因此相应的文件夹 <code>/Library/StartupItems</code> 不保证默认存在于系统上，但在 macOS Sierra 上似乎默认存在。启动项是一个目录，其可执行文件和配置属性列表（plist）<code>StartupParameters.plist</code> 位于顶层目录中。 攻击者可以在 StartupItems 目录中创建相应的文件夹/文件，以注册自己的持久化机制。(Citation: Methods of Mac Malware Persistence) 此外，由于 StartupItems 在 macOS 的启动阶段运行，它们将以提升的 root 用户身份运行。