# AN1208 — Analytic 1208 ## Descrição Detecta criação ou modificação de Launch Agents em nível de usuário em diretórios monitorados no macOS, usando arquivos .plist com chaves ProgramArguments ou RunAtLoad suspeitas. A telemetria inclui eventos de escrita de arquivos em caminhos de Launch Agent, execução de launchctl e carregamento de binários não assinados ativados no login. Essa técnica é comumente usada por malware macOS para estabelecer persistência sem privilégios de administrador. **Plataformas:** macOS ## Técnicas Relacionadas - [[t1543.001-create-or-modify-system-process-launch-agent-and-launch-daemon|T1543.001 — Launch Agent]] - [[t1547-boot-or-logon-autostart-execution|T1547 — Boot or Logon Autostart Execution]] - [[t1059.002-applescript|T1059.002 — AppleScript]] - [[t1036-masquerading|T1036 — Masquerading]] --- *Fonte: [MITRE ATT&CK — AN1208](https://attack.mitre.org/detectionstrategies/DET0434#AN1208)*