T1546.006: 添加 LC_LOAD_DYLIB

摘要

攻击者可能通过执行由被感染的二进制文件执行所触发的恶意内容来建立持久化。Mach-O 二进制文件有一系列头部，用于在加载二进制文件时执行某些操作。Mach-O 二进制文件中的 LC_LOAD_DYLIB 头部告诉 macOS 和 OS X 在执行时要加载哪些动态库（dylib）。只要对字段和依赖关系进行相应调整，就可以将这些临时添加到已编译的二进制文件中。(Citation: Writing Bad Malware for OSX) 有可用的工具来执行这些更改。 攻击者可能修改 Mach-O 二进制文件头部，以便在每次执行该二进制文件时加载并执行恶意 dylib。尽管任何更改都会使二进制文件的数字签名失效，因为二进制文件被修改了，但这可以通过简单地从二进制文件中移除 LC_CODE_SIGNATURE 命令来修复，这样在加载时就不会检查签名。(Citation: Malware Persistence on OS X)