# AN1197 — Analytic 1197 ## Descrição Detecta a modificação ou adição de Launch Agents ou Startup Items para estabelecer persistência, monitorando a criação ou modificação de arquivos plist ou executáveis em `~/Library/LaunchAgents/`, `/Library/StartupItems/` ou diretórios similares configurados para execução no boot ou logon do usuário. A telemetria inclui eventos de modificação de arquivos via Endpoint Security Framework, Unified Logs para atividade de launchd e logs de processo para correlacionar a criação de agentes de persistência com execução de processos no boot. Launch Agents são um dos mecanismos de persistência mais amplamente utilizados por malware macOS, incluindo famílias como Lazarus DPRK e adware agressivo, tornando esse analítico fundamental para detecção de comprometimento em macOS. **Plataformas:** macOS --- ## Técnicas Relacionadas - [[t1547-boot-or-logon-autostart-execution|T1547 — Boot or Logon Autostart Execution]] - [[t1543-create-or-modify-system-process|T1543 — Create or Modify System Process]] - [[t1546-event-triggered-execution|T1546 — Event Triggered Execution]] - [[t1059-command-and-scripting-interpreter|T1059 — Command and Scripting Interpreter]] --- *Fonte: [MITRE ATT&CK — AN1197](https://attack.mitre.org/detectionstrategies/DET0429#AN1197)*