T1647: Plist 文件修改

摘要

攻击者可能修改属性列表文件（plist 文件），以启用其他恶意活动，同时还可能规避和绕过系统防御。macOS 应用程序使用 plist 文件（如 <code>info.plist</code> 文件）来存储属性和配置设置，告知操作系统在运行时如何处理应用程序。Plist 文件是以键值对形式、基于 Apple 的 Core Foundation DTD 以 XML 格式化的结构化元数据。Plist 文件可以以文本或二进制格式保存。(Citation: fileinfo plist file description) 攻击者可以修改 plist 文件中的键值对以影响系统行为，例如隐藏应用程序的执行（即[隐藏窗口](https://attack.mitre.org/techniques/T1564/003)）或运行额外命令以实现持久化（例如：[启动代理](https://attack.mitre.org/techniques/T1543/001)/[启动守护进程](https://attack.mitre.org/techniques/T1543/004)或[重新打开的应用程序](https://attack.mitre.org/techniques/T1547/007)）。 例如，攻击者可以将恶意应用程序路径添加到 `~/Library/Preferences/com.apple.dock.plist` 文件中，该文件控制出现在 Dock 中的应用程序。攻击者还可以修改应用程序 <code>info.plist</code> 文件中的 <code>LSUIElement</code> 键，使应用程序在后台运行。攻击者还可以插入键值对以插入环境变量，如 <code>LSEnvironment</code>，以通过[动态链接器劫持](https://attack.mitre.org/techniques/T1574/006)实现持久化。(Citation: wardle chp2 persistence)(Citation: eset_osx_flashback)