# AN0357 — Analytic 0357 ## Descrição Detecta criação de launch daemons ou aplicativos disfarçados com nomes enganosos e metadados de bundle inconsistentes (valores de `Info.plist` incompatíveis com caminho do binário ou ícone), correlacionada com inicialização no logon do usuário ou configuração de persistência. A telemetria inclui monitoramento de modificações em plists de LaunchAgent/LaunchDaemon, válidação de assinatura de código (codesign) e análise de cadeia de inicialização pós-login. Essa analítica é importante porque adversários em macOS frequentemente criam apps ou daemons que se passam por componentes do sistema, dificultando a detecção por usuários e ferramentas de inspeção simples. **Plataformas:** macOS ## Técnicas Relacionadas - [[t1036-masquerading|T1036 — Masquerading]] - [[t1543-create-or-modify-system-process|T1543 — Create or Modify System Process]] - [[t1547-boot-or-logon-autostart-execution|T1547 — Boot or Logon Autostart Execution]] - [[t1027-obfuscated-files-or-information|T1027 — Obfuscated Files or Information]] --- *Fonte: [MITRE ATT&CK — AN0357](https://attack.mitre.org/detectionstrategies/DET0127#AN0357)*