Изменение файла Plist

Злоумышленники могут изменять файлы списка свойств (файлы plist), чтобы включить другую вредоносную активность, а также потенциально уклоняться и обходить системы защиты. Приложения macOS используют файлы plist, такие как файл info.plist, для хранения свойств и параметров конфигурации, которые сообщают операционной системе, как обрабатывать приложение во время выполнения. Файлы plist представляют собой структурированные метаданные в парах ключ-значение, отформатированные в XML на основе Core Foundation DTD от Apple. Файлы plist могут быть сохранены в текстовом или двоичном формате. Злоумышленники могут изменять пары ключ-значение в файлах plist, чтобы влиять на поведение системы, например, скрывать выполнение приложения (т.е. Скрытое окно) или запускать дополнительные команды для закрепления (например: Агент запуска/Демон запуска или Повторно открытые приложения). Например, злоумышленники могут добавить путь к вредоносному приложению в файл `~/Library/Preferences/com.apple.dock.plist`, который управляет приложениями, отображаемыми в Dock. Злоумышленники также могут изменить ключ LSUIElement в файле info.plist приложения, чтобы запустить приложение в фоновом режиме. Злоумышленники также могут вставлять пары ключ-значение для вставки переменных окружения, таких как LSEnvironment, чтобы обеспечить закрепление через Перехват динамического компоновщика.