T1053.004: Launchd

摘要

此技术因使用不准确而被弃用。所引用的报告没有提供技术细节，说明恶意软件如何直接与 launchd 交互而非通过已知服务。实际是与 launchd 交互的是其他系统服务，而非 launchd 自身被使用。 攻击者可能滥用 <code>Launchd</code> 守护进程执行任务计划，以实现恶意代码的初始执行或反复执行。macOS 原生的 <code>launchd</code> 守护进程负责加载和维护操作系统内的服务。该进程从 <code>/System/Library/LaunchDaemons</code> 和 <code>/Library/LaunchDaemons</code> 中找到的属性列表（plist）文件中加载每个按需启动的系统级守护进程的参数 (Citation: AppleDocs Launch Agent Daemons)。这些 LaunchDaemons 拥有属性列表文件，指向将被启动的可执行文件 (Citation: Methods of Mac Malware Persistence)。 攻击者可能在 macOS 环境中使用 <code>launchd</code> 守护进程，计划新的可执行文件在系统启动时或按计划运行以实现持久化。<code>launchd</code> 还可被滥用来在指定账户的上下文下运行进程。诸如 <code>launchd</code> 之类的守护进程以 root 用户账户的权限运行，并且无论哪个用户账户登录都会运行。