Modifica File Plist: Plist File Modification (T1647)

In un ingaggio red team su ambiente macOS, la manipolazione dei plist è uno degli strumenti più eleganti per ottenere persistenza e occultamento senza ricorrere a exploit. Il punto di partenza è la comprensione dei due formati: XML testuale e binario. Per convertirli si usa il comando nativo plutil -convert xml1 file.plist oppure plutil -convert binary1 file.plist, entrambi disponibili out-of-the-box su ogni versione recente di macOS.

Un primo scenario classico è la creazione di un Launch Agent utente. Si scrive un file in ~/Library/LaunchAgents/com.apple.updater.plist contenente le chiavi Label, ProgramArguments con il path al payload, RunAtLoad impostato su true e opzionalmente KeepAlive. Il caricamento avviene con launchctl load ~/Library/LaunchAgents/com.apple.updater.plist (su versioni recenti è preferibile launchctl bootstrap gui/$(id -u) ). Per rendere il processo invisibile al Dock si aggiunge LSUIElement con valore true nell'Info.plist del bundle applicativo, tecnica documentata anche in XCSSET.

Per la modifica programmatica delle chiavi il tool di riferimento resta defaults (built-in): defaults write ~/Library/Preferences/com.apple.dock persistent-apps -array-add '...' consente di iniettare voci nel Dock. Alternativa più robusta è plutil -insert o plutil -replace per operare su chiavi specifiche senza corrompere la struttura. Se serve un approccio scriptato multipiattaforma, la libreria Python plistlib (standard library, open source) permette di leggere e scrivere sia formato XML che binario.

Per scenari di Dynamic Linker Hijacking si inserisce la chiave LSEnvironment nell'Info.plist con un dizionario contenente DYLD_INSERT_LIBRARIES puntato a una dylib controllata. Attenzione però: dal rilascio di System Integrity Protection e con la firma hardened runtime obbligatoria per il notarization, molte variabili DYLD vengono ignorate per binari firmati con com.apple.security.cs.disable-library-validation non attivo.

In laboratorio strumenti come Mythic (open source) con agent Poseidon o Apfell, oppure il framework swiftbelt (open source) di Cedric Owens per l'enumerazione, permettono di simulare l'intera catena. Per validare la persistenza dopo il reboot è utile KnockKnock di Objective-See (gratuito), che elenca gli elementi persistenti e consente di verificare se il proprio artefatto è visibile o meno agli strumenti di difesa comuni.

La detection di T1647 richiede visibilità sul filesystem macOS e sul comportamento dei processi che modificano file di configurazione. La strategia MITRE DET0109 individua tre pilastri: monitoraggio delle directory sensibili, correlazione temporale tra modifica del plist e successivo lancio di processi, tracciamento dell'uso di utility come defaults, plutil e editor testuali su file Info.plist.

La fonte log primaria è macos:unifiedlog, il sottosistema di logging unificato accessibile via log show e log stream. Un filtro utile è log stream --predicate 'eventMessage CONTAINS "LaunchAgents" OR eventMessage CONTAINS "LaunchDaemons"' --info. Per ambienti gestiti, agent EDR come Jamf Protect (a pagamento), CrowdStrike Falcon for macOS (a pagamento) o l'open source osquery (open source) offrono tabelle dedicate come launchd, plist, file_events e process_file_events che permettono di scrivere query di rilevamento sui path critici.

Una query osquery efficace monitora modifiche in ~/Library/LaunchAgents/%%, /Library/LaunchAgents/%%, /Library/LaunchDaemons/%% e nelle preferenze del Dock. Il tuning suggerito da MITRE prevede tre parametri: l'insieme delle directory monitorate, la lista delle chiavi sospette (LSUIElement, LSEnvironment, ProgramArguments, RunAtLoad, KeepAlive) e una finestra temporale di correlazione tra la scrittura del file e il successivo execve di un binario referenziato dal plist stesso. Una finestra di 60-300 secondi cattura la maggior parte degli scenari di persistenza attivata immediatamente.

Gli indicatori comportamentali chiave includono: processi non-Apple che invocano plutil o defaults su path di sistema, creazione di plist in LaunchAgents da parte di processi con parent shell non interattive, modifiche a com.apple.dock.plist seguite da restart del processo Dock, e presenza della chiave LSEnvironment con valori DYLD_ in bundle firmati da developer non riconosciuti.

I falsi positivi più frequenti derivano da installer legittimi (.pkg), aggiornamenti software di terze parti come Adobe Creative Cloud o Microsoft AutoUpdate che scrivono LaunchAgents propri, e da utility di sviluppo come Homebrew o gli Xcode Command Line Tools. La strategia di riduzione consiste nel mantenere una allowlist di firme codice per i processi autorizzati a modificare LaunchAgents e nel correlare sempre l'evento di scrittura con il TeamID del processo scrivente, ottenibile via codesign -dv --verbose=4 o direttamente dagli endpoint security event di EndpointSecurity framework (identificatore evento ES_EVENT_TYPE_NOTIFY_WRITE).

L'analisi forense di un incidente T1647 su macOS parte dall'enumerazione sistematica dei plist di persistenza e configurazione. Le directory prioritarie sono ~/Library/LaunchAgents, /Library/LaunchAgents, /Library/LaunchDaemons, /System/Library/LaunchDaemons (raramente scrivibile per via di SIP), ~/Library/Preferences e i bundle .app alla ricerca di Info.plist alterati.

La raccolta triage può essere effettuata con AutoMacTC di CrowdStrike (open source), che estrae in modo strutturato LaunchAgents, LaunchDaemons, login items e configurazioni sospette, oppure con macOS Artifact Parsing Tool mac_apt (open source) di Yogesh Khatri, che ricostruisce timeline complete a partire da immagini disco o snapshot APFS. Per l'analisi puntuale di un singolo file, plutil -p file.plist stampa la struttura in forma leggibile, mentre plutil -convert xml1 -o - file.plist converte in XML sullo standard output senza toccare l'originale, preservando il timestamp.

La timeline forense si costruisce incrociando quattro fonti. Il filesystem APFS fornisce timestamp btime (birth time), mtime e ctime tramite stat -f "%B %m %c" file.plist: la comparsa di un plist di persistenza con btime prossimo a un evento sospetto è un forte indicatore. L'Unified Log conserva eventi fino a 30 giorni e va estratto immediatamente con log collect --output /path/logarchive, poi analizzato con log show --archive /path/logarchive --predicate '...'. I FSEvents (in /.fseventsd) registrano modifiche a livello di volume e sono parsabili con FSEventsParser (open source) di David Cowen. Infine le Quarantine extended attributes (com.apple.quarantine via xattr -l) rivelano l'origine di dropper che hanno scaricato il plist da browser o mail client.

Sul caso XCSSET (S0658) gli artefatti caratteristici includono modifiche al LSUIElement, DFBundleDisplayName e CFBundleIdentifier nell'Info.plist di bundle applicativi, effettuate tramite plutil. Nelle varianti recenti, XCSSET sfrutta il tool notarizzato dockutil per manipolare il plist del Dock e sostituire icone legittime con puntatori a bundle malevoli: la presenza di dockutil in path utente e la modifica di com.apple.dock.plist con path anomali in persistent-apps sono indicatori forti. Nel caso Cuckoo Stealer (S1153) l'artefatto principale è la creazione ex novo di plist per abilitare l'esecuzione, quindi l'analisi va focalizzata sui LaunchAgent utente con ProgramArguments che referenziano binari in directory non standard come ~/Library/Application Support/ o /tmp.

La validazione dell'integrità del sistema può includere il confronto degli hash SHA-256 dei plist di sistema con una baseline pulita e la verifica delle firme dei bundle referenziati tramite codesign --verify --deep --strict.

Dal punto di vista di threat intelligence, T1647 rappresenta un tassello ricorrente nell'arsenale degli attori che colpiscono l'ecosistema macOS, storicamente meno affollato di TTP rispetto a Windows ma in costante espansione con la diffusione di endpoint Apple in ambienti enterprise, sviluppo software e settore creativo.

I dati MITRE ATT&CK associano alla tecnica due famiglie malware documentate, entrambe rilevanti per profilare la minaccia. XCSSET (S0658) è un malware sofisticato che ha attirato attenzione per la sua capacità di infettare progetti Xcode locali, propagandosi quindi attraverso la supply chain degli sviluppatori iOS/macOS. L'uso di T1647 in XCSSET è duplice: nelle versioni iniziali il malware ricorre direttamente a plutil per manipolare LSUIElement, DFBundleDisplayName e CFBundleIdentifier all'interno del proprio Info.plist, ottenendo occultamento visivo e mimetizzazione dell'identità del bundle. Nelle iterazioni più recenti l'evoluzione tattica è indicativa: gli operatori adottano il tool legittimo notarizzato dockutil di terze parti per modificare il plist del Dock, sostituendo il puntamento di applicazioni legittime con bundle malevoli. Questo shift verso l'abuso di tool notarizzati da Apple riflette un trend più ampio di living-off-the-land nell'ecosistema macOS, dove gli attaccanti privilegiano binari già firmati per aggirare Gatekeeper e i controlli di notarizzazione.

Cuckoo Stealer (S1153) è una famiglia infostealer emersa più recentemente, focalizzata sulla raccolta di credenziali, cookie di sessione e dati wallet crypto. L'uso di T1647 in Cuckoo è più elementare: crea e popola file plist per abilitare l'esecuzione, tipicamente registrando LaunchAgent utente per persistenza a lungo termine. La distribuzione documentata avviene attraverso siti di software cracking e installer trojanizzati mascherati da tool di conversione musicale, targeting geograficamente distribuito ma con concentrazione su utenti consumer e piccole imprese occidentali.

Il pattern comune tra le due famiglie evidenzia due tendenze da monitorare. La prima è l'adozione crescente di tool notarizzati di terze parti per operazioni malevole, che complica la detection basata su reputazione e firma codice. La seconda è la convergenza tra malware information-stealing generalisti (Cuckoo) e piattaforme più orientate al supply chain compromise (XCSSET), entrambe accomunate dallo sfruttamento di primitive macOS ben documentate come LaunchAgent e modifiche a Info.plist.

Per un threat intelligence officer, il valore predittivo di T1647 sta nel fatto che qualsiasi nuova famiglia macOS con capacità di persistenza dovrà quasi certamente toccare plist, rendendo la manipolazione di questi file un indicatore ad alto rendimento nella caccia proattiva. La mitigazione MITRE M1013 richiama l'importanza dell'hardened runtime e delle linee guida Apple per sviluppatori, una raccomandazione che va estesa alle organizzazioni che sviluppano app interne e che dovrebbero adottare notarization, entitlements minimali e disabilitazione esplicita di DYLD_INSERT_LIBRARIES nei propri bundle.

MITRE ATT&CK: T1647 Plist File Modification, tattica TA0005 Defense Evasion, software S0658 XCSSET e S1153 Cuckoo Stealer, mitigazione M1013 Application Developer Guidance, strategia di detection DET0109 con analitica AN0306 su macos:unifiedlog. MITRE D3FEND per mapping tecniche difensive. Documentazione Apple Developer su Info.plist keys, launchd e hardened runtime. Sono state integrate conoscenze professionali di cybersecurity per tool operativi (osquery, mac_apt, AutoMacTC, KnockKnock, plutil, defaults) e sintassi comandi, tutti verificabili tramite repository pubblici e documentazione ufficiale.