Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Deutsch
Entry № 608

launchd-Persistenz

Was ist launchd-Persistenz?

launchd-PersistenzmacOS-Persistenztechnik, die ein LaunchDaemon- oder LaunchAgent-Plist hinterlegt, damit launchd Angreifercode beim Boot, Login oder bei einem Trigger ausführt.

launchd-Persistenz (MITRE ATT&CK T1543.004) missbraucht das macOS-Init-System launchd. Angreifer legen eine Plist-Datei in /Library/LaunchDaemons (Boot, Root-Kontext), /Library/LaunchAgents (für alle Benutzer beim Login) oder ~/Library/LaunchAgents (aktueller Benutzer) ab. Die Plist definiert Label, ProgramArguments und Trigger wie RunAtLoad, KeepAlive, StartInterval, WatchPaths oder StartCalendarInterval. launchd hält den Prozess am Leben und startet ihn bei Bedarf neu. macOS-Malware wie OSX/Shlayer oder XCSSET nutzt die Methode. Abwehr: LaunchDaemon-/Agent-Verzeichnisse mit EDR oder fs_usage überwachen, Plists baselinen, Alarme bei unsignierten Executables, und Schreibrechte mittels TCC, SIP und MDM-Profilen einschränken.

● Beispiele

  1. 01

    Ablegen von com.apple.softwareupdated.plist in /Library/LaunchDaemons, das beim Boot /tmp/updater startet.

  2. 02

    Benutzerbasierter LaunchAgent, der per RunAtLoad bei jedem Login einen Python-Implant ausführt.

● Häufige Fragen

Was ist launchd-Persistenz?

macOS-Persistenztechnik, die ein LaunchDaemon- oder LaunchAgent-Plist hinterlegt, damit launchd Angreifercode beim Boot, Login oder bei einem Trigger ausführt. Es gehört zur Kategorie Angriffe und Bedrohungen der Cybersicherheit.

Was bedeutet launchd-Persistenz?

macOS-Persistenztechnik, die ein LaunchDaemon- oder LaunchAgent-Plist hinterlegt, damit launchd Angreifercode beim Boot, Login oder bei einem Trigger ausführt.

Wie funktioniert launchd-Persistenz?

launchd-Persistenz (MITRE ATT&CK T1543.004) missbraucht das macOS-Init-System launchd. Angreifer legen eine Plist-Datei in /Library/LaunchDaemons (Boot, Root-Kontext), /Library/LaunchAgents (für alle Benutzer beim Login) oder ~/Library/LaunchAgents (aktueller Benutzer) ab. Die Plist definiert Label, ProgramArguments und Trigger wie RunAtLoad, KeepAlive, StartInterval, WatchPaths oder StartCalendarInterval. launchd hält den Prozess am Leben und startet ihn bei Bedarf neu. macOS-Malware wie OSX/Shlayer oder XCSSET nutzt die Methode. Abwehr: LaunchDaemon-/Agent-Verzeichnisse mit EDR oder fs_usage überwachen, Plists baselinen, Alarme bei unsignierten Executables, und Schreibrechte mittels TCC, SIP und MDM-Profilen einschränken.

Wie schützt man sich gegen launchd-Persistenz?

Schutzmaßnahmen gegen launchd-Persistenz kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Welche anderen Bezeichnungen gibt es für launchd-Persistenz?

Übliche alternative Bezeichnungen: LaunchDaemon-Persistenz, LaunchAgent-Persistenz.

● Verwandte Begriffe