Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 608

Закрепление через launchd

Что такое Закрепление через launchd?

Закрепление через launchdТехника закрепления в macOS, размещающая plist LaunchDaemon или LaunchAgent, чтобы launchd запускал код злоумышленника при загрузке, входе или триггере.

Закрепление через launchd (MITRE ATT&CK T1543.004) использует init-систему launchd в macOS. Злоумышленники размещают plist в /Library/LaunchDaemons (загрузка, контекст root), /Library/LaunchAgents (все пользователи при входе) или ~/Library/LaunchAgents (текущий пользователь). plist задаёт Label, ProgramArguments и триггеры RunAtLoad, KeepAlive, StartInterval, WatchPaths или StartCalendarInterval. launchd поддерживает процесс и перезапускает его при завершении. Метод популярен у вредоносного ПО macOS, включая OSX/Shlayer и XCSSET. Защита: мониторинг каталогов LaunchDaemon/Agent через EDR или fs_usage, базовая инвентаризация plist, оповещения о неподписанных исполняемых файлах, а также ограничение записи через TCC, SIP и профили MDM.

● Примеры

  1. 01

    Размещение com.apple.softwareupdated.plist в /Library/LaunchDaemons, запускающего /tmp/updater при загрузке.

  2. 02

    Пользовательский LaunchAgent, повторно запускающий Python-имплант при каждом входе через RunAtLoad.

● Частые вопросы

Что такое Закрепление через launchd?

Техника закрепления в macOS, размещающая plist LaunchDaemon или LaunchAgent, чтобы launchd запускал код злоумышленника при загрузке, входе или триггере. Относится к категории Атаки и угрозы в кибербезопасности.

Что означает Закрепление через launchd?

Техника закрепления в macOS, размещающая plist LaunchDaemon или LaunchAgent, чтобы launchd запускал код злоумышленника при загрузке, входе или триггере.

Как работает Закрепление через launchd?

Закрепление через launchd (MITRE ATT&CK T1543.004) использует init-систему launchd в macOS. Злоумышленники размещают plist в /Library/LaunchDaemons (загрузка, контекст root), /Library/LaunchAgents (все пользователи при входе) или ~/Library/LaunchAgents (текущий пользователь). plist задаёт Label, ProgramArguments и триггеры RunAtLoad, KeepAlive, StartInterval, WatchPaths или StartCalendarInterval. launchd поддерживает процесс и перезапускает его при завершении. Метод популярен у вредоносного ПО macOS, включая OSX/Shlayer и XCSSET. Защита: мониторинг каталогов LaunchDaemon/Agent через EDR или fs_usage, базовая инвентаризация plist, оповещения о неподписанных исполняемых файлах, а также ограничение записи через TCC, SIP и профили MDM.

Как защититься от Закрепление через launchd?

Защита от Закрепление через launchd обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия Закрепление через launchd?

Распространённые альтернативные названия: Закрепление через LaunchDaemon, Закрепление через LaunchAgent.

● Связанные термины