T1547.007: 重新打开的应用程序

摘要

攻击者可能修改 plist 文件以在用户登录时自动运行应用程序。当用户通过 macOS 图形用户界面（GUI）注销或重启时，会向用户提供一个带有“重新登录时重新打开窗口”复选框的提示。(Citation: Re-Open windows on Mac) 选中后，当前打开的所有应用程序都会被添加到 <code>~/Library/Preferences/ByHost</code> 目录中名为 <code>com.apple.loginwindow.[UUID].plist</code> 的属性列表文件中。(Citation: Methods of Mac Malware Persistence)(Citation: Wardle Persistence Chapter) 此文件中列出的应用程序将在用户下次登录时自动重新打开。 攻击者可以通过向 <code>com.apple.loginwindow.[UUID].plist</code> 文件添加恶意应用程序路径来建立[持久化](https://attack.mitre.org/tactics/TA0003)，以便在用户登录时执行载荷。