# AN1224 — Analytic 1224 ## Descrição Detecta padrões de execução no macOS onde um processo filho é desanexado de seu pai original, aparecendo sob 'launchd' (PID 1) sem linhagem de processo pai. A telemetria inclui logs unificados do macOS rastreando alterações de PPID e execução de binários que utilizam chamadas daemon(), fork() ou flags de execução em background. Essas quebras na árvore de processos são indicativas de técnicas evasivas que dificultam a investigação de incidentes e a reconstrução da cadeia de ataque. **Plataformas:** macOS ## Técnicas Relacionadas - [[t1036-masquerading|T1036 — Masquerading]] - [[t1543.001-create-or-modify-system-process-launch-agent-and-launch-daemon|T1543.001 — Launch Agent]] - [[t1059.002-applescript|T1059.002 — AppleScript]] - [[t1134-access-token-manipulation|T1134 — Access Token Manipulation]] --- *Fonte: [MITRE ATT&CK — AN1224](https://attack.mitre.org/detectionstrategies/DET0443#AN1224)*