Главная страница » MITRE ATT&CK
0
5 дней
MITRE ATT&CK

MITRE ATT&CK T1547.007 - Переоткрытые приложения

MITRE ATT&CK

Повторно открытые приложения в macOS автоматически запускаются при входе пользователя в систему - эта функция создана для удобства пользователей. Этому способствует файл списка свойств, в котором записаны приложения, запущенные во время последнего выхода из системы. Злоумышленники используют эту возможность, вставляя вредоносные приложения в этот список, обеспечивая их автоматическое выполнение при входе пользователя в систему, тем самым незаметно достигая стойкости.

Использование злоумышленниками переоткрытых приложений

Злоумышленники используют функцию macOS «Повторное открытие приложений», подделывая plist-файлы, например com.apple.loginwindow.<UUID>.plist, расположенный в пользовательском каталоге ~/Library/Preferences/ByHost. Этот plist-файл содержит конфигурацию приложений, которые автоматически перезапускаются при повторном входе пользователя в систему. Пользователи обычно соглашаются на эту функцию с помощью запроса при выходе из системы, что делает ее доверенным поведением.

Чтобы скомпрометировать эту функцию, злоумышленники манипулируют plist-файлом с помощью команд macOS.

Например:

Эта команда отображает содержимое файла plist, в который злоумышленники могут вставить записи, указывающие на их вредоносные приложения. Каждая запись содержит ключи для идентификатора пакета приложения, фонового состояния, настроек видимости и пути к файлу.

Пример измененной записи plist может выглядеть следующим образом:

При этом вредоносная программа автоматически запускается при каждом входе пользователя в систему, используя легитимные функции macOS для поддержания скрытого присутствия.

Комментарии: 0
Похожие записи
0
5 дней
MITRE ATT&CK

MITRE ATT&CK T1547.014 - Активная установка

MITRE ATT&CK
Active Setup (Активная установка) в Windows предназначена для автоматического выполнения определенных программ или скриптов при входе пользователя в систему, в основном для настройки пользовательских профилей при первом входе.
0
5 дней
MITRE ATT&CK

MITRE ATT&CK T1547.012 - Обработчики печати

MITRE ATT&CK
Обработчики (процессоры) печати - библиотеки динамических ссылок (DLL), используемые службой спулера печати Windows (spoolsv.exe), - играют важную роль в управлении заданиями печати, обработке форматов данных и макетов печати.