T1543: 创建或修改系统进程

摘要

攻击者可能创建或修改系统级进程，以作为持久化的一部分反复执行恶意载荷。当操作系统启动时，它们可以启动执行后台系统功能的进程。在 Windows 和 Linux 上，这些系统进程称为服务。(Citation: TechNet Services) 在 macOS 上，运行称为[启动守护进程](https://attack.mitre.org/techniques/T1543/004)和[启动代理](https://attack.mitre.org/techniques/T1543/001)的 launchd 进程以完成系统初始化并加载用户特定参数。(Citation: AppleDocs Launch Agent Daemons) 攻击者可能安装可在启动时或按可重复间隔配置执行的新服务、守护进程或代理，以建立持久化。同样，攻击者可能修改现有服务、守护进程或代理以达到相同效果。 服务、守护进程或代理可能以管理员权限创建，但在 root/SYSTEM 权限下执行。攻击者可能利用此功能创建或修改系统进程以提升权限。(Citation: OSX Malware Detection)