# AN0780 — Analytic 0780 ## Descrição Esta analítica monitora definições de serviços launchd e modificações de property list (.plist) para executáveis não padrão no macOS, detectando processos não autorizados registrados como launch daemons ou agents. A telemetria inclui Endpoint Security Framework para criação e modificação de arquivos plist em LaunchAgents/LaunchDaemons, Unified Logs do macOS para atividade de registro de serviços launchd e monitoramento de criação de processos a partir de caminhos referênciados em plists. A detecção é importante para capturar malware macOS que tenta estabelecer persistência privilegiada via daemons de sistema, que persistem entre sessões de usuário e reinicializações com maiores privilégios que launch agents. **Plataformas:** macOS ## Técnicas Relacionadas - [[t1543-create-or-modify-system-process|T1543 — Create or Modify System Process]] - [[t1569-system-services|T1569 — System Services]] - [[t1547-boot-or-logon-autostart-execution|T1547 — Boot or Logon Autostart Execution]] - [[t1059-command-and-scripting-interpreter|T1059 — Command and Scripting Interpreter]] --- *Fonte: [MITRE ATT&CK — AN0780](https://attack.mitre.org/detectionstrategies/DET0279#AN0780)*