# AN0659 — Analytic 0659 ## Descrição Detecta edições ou adições em `/etc/rc.common`, `/Library/StartupItems` ou `/System/Library/StartupItems` e execução de scripts associados durante login ou reinicialização no macOS. A telemetria inclui FSEvents, o Unified Log do macOS e auditd que capturam modificações em caminhos de inicialização do sistema seguidas de execuções de processo com parentesco anômalo durante o boot. Essa analítica é relevante pois itens de inicialização legados no macOS são alvos de persistência utilizados por malware como Silver Sparrow e outros implantes direcionados a sistemas Apple corporativos. **Plataformas:** macOS ## Técnicas Relacionadas - [[t1037-boot-or-logon-initialization-scripts|T1037 — Boot or Logon Initialization Scripts]] - [[t1543-create-or-modify-system-process|T1543 — Create or Modify System Process]] - [[t1059-command-and-scripting-interpreter|T1059 — Command and Scripting Interpreter]] - [[t1547-boot-or-logon-autostart-execution|T1547 — Boot or Logon Autostart Execution]] --- *Fonte: [MITRE ATT&CK — AN0659](https://attack.mitre.org/detectionstrategies/DET0237#AN0659)*