Ejecución y persistencia — agentes, demonios y elementos de inicio

En macOS, launchd arranca los servicios y los trabajos programados a partir de archivos de propiedades (.plist). Hay dos clases de trabajo. Un demonio es del sistema: corre como root, sin depender de que alguien tenga la sesión abierta, y se declara en /Library/LaunchDaemons (o en /System/Library/LaunchDaemons, que es del sistema operativo). Un agente es de un usuario: corre solo mientras ese usuario tiene la sesión abierta, y se declara en /Library/LaunchAgents para todos los usuarios o en ~/Library/LaunchAgents para uno solo.

El formato del archivo es el mismo; lo que cambia su alcance es la carpeta donde está. Para el analista, la carpeta ya dice a quién afecta y con qué privilegios corre.

Un archivo de propiedades declara quién es el trabajo (Label, obligatoria y única), qué ejecuta (ProgramArguments) y cuándo. Tres claves de «cuándo» merecen atención: RunAtLoad, que lo arranca al cargarse; KeepAlive, que pide que esté siempre vivo y lo relanza si termina; e StartInterval, que lo lanza cada cierto número de segundos.

Abre la consola. La tabla plists es el inventario de trabajos declarados en asi-mac-014. La última columna dice qué cambio aprobado respalda el archivo: un guion es «ninguno». Ejecuta plists | where cambio == "-" para ver qué hay sin respaldo.

Un trabajo con KeepAlive activo y un intervalo no pasa desapercibido: aunque alguien lo termine, vuelve. La suma de las dos claves es lo que hace persistente a un programa sin que nadie lo abra. Para medir el ritmo, el intervalo está en segundos y el analista suele pensar en minutos.

Con la misma consulta de antes, lee el intervalo del trabajo sin respaldo y conviértelo.

Hay dos formas de programar un trabajo de launchd. StartInterval lo lanza cada cierto número de segundos desde que se carga. StartCalendarInterval lo lanza en momentos concretos del calendario, con minuto, hora, día, de forma parecida a cron. La diferencia importa al buscar: un trabajo por intervalo deja actividad constante; uno por calendario deja una actividad concentrada en la misma hora del día o de la semana.

Si el trabajo que investigas despierta siempre a las tres y media de la madrugada, lo que debes buscar en su archivo es el calendario, no el intervalo.

Los trabajos de fondo y los elementos de inicio de sesión también se administran desde Configuración del Sistema, en General, Ítems de inicio y extensiones (Login Items & Extensions). El sistema lleva un registro interno de estos elementos y, cuando alguien añade uno, el marco de seguridad puede emitir el evento NOTIFY_BTM_LAUNCH_ITEM_ADD. Un agente EDR lo exporta como una fila con la hora, el tipo, el elemento y si está gestionado, es decir, si llegó por la gestión de dispositivos de la empresa.

Ejecuta elementos_de_fondo | where gestionado == "no" para ver lo que se añadió sin pasar por la empresa.