# AN0326 — Analytic 0326 ## Descrição Detecta criação de LaunchAgents ou LaunchDaemons com nomes semelhantes a serviços legítimos do sistema macOS, mas que executam código ou scripts não assinados pela Apple. A telemetria utilizada inclui monitoramento de criação de arquivos plist em `/Library/LaunchAgents/`, `/Library/LaunchDaemons/` e `~/Library/LaunchAgents/`, além de verificação de assinaturas de código dos binários referênciados. Essa analítica é relevante porque a técnica de persistência via LaunchAgent com mascaramento de nomes é amplamente usada por malwares macOS como Lazarus e adware sofisticado para sobreviver a reinicializações. **Plataformas:** macOS ## Técnicas Relacionadas - [[t1543-create-or-modify-system-process|T1543 — Create or Modify System Process]] - [[t1036-masquerading|T1036 — Masquerading]] - [[t1547-boot-or-logon-autostart-execution|T1547 — Boot or Logon Autostart Execution]] - [[t1059-command-and-scripting-interpreter|T1059 — Command and Scripting Interpreter]] --- *Fonte: [MITRE ATT&CK — AN0326](https://attack.mitre.org/detectionstrategies/DET0117#AN0326)*