Login Items macOS: Persistenza tramite Elementi di Avvio (T1547.015)

In un esercizio red team su endpoint macOS, la simulazione di T1547.015 richiede accesso a una sessione utente e la capacità di eseguire AppleScript o codice Objective-C/Swift firmato. La via più rapida e didatticamente efficace passa dallo strumento nativo osascript, che consente di iniettare comandi al processo System Events senza dipendenze esterne.

Un payload di base per aggiungere un login item tramite Shared File List assume la forma:

osascript -e 'tell application "System Events" to make login item at end with properties {path:"/tmp/payload.app", hidden:true}'

Il flag hidden:true maschera la finestra al login, riducendo la probabilità che l'utente si accorga dell'esecuzione. L'operazione scrive nel file backgrounditems.btm e sopravvive al logout. Per verificare l'inserimento senza aprire System Preferences si può interrogare la lista con:

osascript -e 'tell application "System Events" to get the name of every login item'

La seconda modalità, più stealth, sfrutta il Service Management Framework. Richiede un'app helper bundled dentro Contents/Library/LoginItems/ dell'applicazione principale e una chiamata Swift/Objective-C a SMLoginItemSetEnabled(bundleID, true). Questa via non compare in System Preferences e viene gestita da launchd, risultando più difficile da individuare per un utente non esperto. Il bundle helper deve essere firmato con lo stesso Team ID dell'app principale, altrimenti launchd rifiuta la registrazione — vincolo che in un lab si aggira usando certificati di sviluppo locali e disabilitando temporaneamente Gatekeeper con spctl --master-disable (operazione da eseguire solo su macchine virtuali dedicate).

Per orchestrare la simulazione in modo strutturato, il framework Atomic Red Team (open source) fornisce test dedicati a T1547.015 che automatizzano sia la variante AppleScript sia la manipolazione diretta di backgrounditems.btm. Altro strumento utile è Mythic (open source), un C2 framework con agent macOS (Apfell, Poseidon) che include moduli di persistenza allineati a MITRE ATT&CK. Per l'analisi statica dei bundle e dei payload prodotti, Hopper Disassembler (a pagamento, con demo gratuita) e RadareR2 (open source) sono riferimenti consolidati.

Una catena d'attacco realistica prevede consegna del payload via phishing con archivio DMG, esecuzione dell'app non firmata dopo bypass Gatekeeper indotto socialmente, registrazione del login item helper via SMLoginItemSetEnabled e successiva escalation tramite prompt fasullo di autenticazione generato con osascript e il dialog display dialog "System requires your password" with hidden answer.

La detection di T1547.015 su macOS si costruisce sull'Unified Log (accessibile via log stream e log show) e sui meccanismi di Endpoint Security Framework esposti da agent EDR come Jamf Protect (a pagamento), CrowdStrike Falcon (a pagamento), SentinelOne (a pagamento) o l'open source eslogger distribuito con macOS 13+.

Il segnale primario è la modifica del file ~/Library/Application Support/com.apple.backgroundtaskmanagementagent/backgrounditems.btm. Qualsiasi processo che non sia cfprefsd, backgroundtaskmanagementagent o installer legittimi firmati che scriva su questo path merita un alert ad alta priorità. Su Unified Log si possono filtrare eventi con predicati come log stream --predicate 'subsystem == "com.apple.backgroundtaskmanagement"', che rivela registrazioni e rimozioni di background items in tempo reale.

Il secondo pilastro è la telemetria sui processi AppleScript. L'esecuzione di osascript con argomenti contenenti stringhe come login item, System Events o make login item è un pattern quasi mai osservato in flussi legittimi enterprise. Un EDR configurato per catturare command line di osascript con parent process anomalo (es. bash, sh, curl discendente da download recenti) fornisce un indicatore ad alta confidenza.

Per la variante Service Management Framework la detection è più sottile: bisogna monitorare la creazione di file eseguibili all'interno di percorsi Contents/Library/LoginItems/ di bundle applicativi installati fuori da /Applications o da MDM. Correlare questi eventi con successivi lanci post-login tramite launchd nel contesto utente completa la catena. L'evento chiave in Unified Log è la comparsa di com.apple.xpc.launchd che registra un nuovo agent con provenienza sospetta.

Come tuning è fondamentale definire una allowlist dei login items legittimi presenti nella baseline aziendale (client MDM come Jamf, agent EDR, tool di produttività standard) e correlare l'attività di creazione/modifica con la finestra temporale immediatamente successiva al login (0-5 minuti). Il contesto utente deve essere distinto: modifiche in contesto daemon o root fuori orario di manutenzione hanno peso investigativo maggiore. Escludere percorsi enterprise gestiti (/Library/Application Support/JAMF/, path MDM firmati) riduce i falsi positivi senza cieche cecità.

Un caso frequente di falso positivo è rappresentato da installer di app consumer come client VPN, Dropbox, Slack, Zoom che registrano legittimamente login items al primo avvio. La discriminante è la firma del codice: eseguibili non firmati o firmati con certificati ad-hoc che scrivono in backgrounditems.btm devono sempre generare ticket di verifica.

L'analisi forense post-incidente su compromissioni che coinvolgono T1547.015 ha come artefatto centrale il file ~/Library/Application Support/com.apple.backgroundtaskmanagementagent/backgrounditems.btm. Si tratta di un file binario in formato Binary Property List (bplist) che elenca gli item registrati con path, bundle identifier, flag di visibilità e timestamp. Per parsarlo in modo strutturato si può usare plutil -convert xml1 -o - backgrounditems.btm (nativo macOS) oppure lo strumento btmdump distribuito nel repository di Objective-See (open source), che decodifica anche le versioni più recenti di macOS Ventura e Sonoma in cui il formato è stato esteso.

Una volta estratti i path, la timeline forense si costruisce correlando i timestamp MACB del file backgrounditems.btm (accessibili via stat -f "%Sm %Sc %Sa %SB" backgrounditems.btm) con gli eventi di Unified Log e con i timestamp di creazione degli eseguibili referenziati. L'Unified Log conserva mediamente 20-30 giorni di storia e va acquisito tempestivamente tramite log collect --output evidence.logarchive, comando che produce un archivio analizzabile offline con log show --archive evidence.logarchive.

Per la variante Service Management Framework gli artefatti si spostano sui file plist LaunchAgents generati da launchd in ~/Library/LaunchAgents/ e sui bundle helper contenuti in Contents/Library/LoginItems/ dell'app padre. L'ispezione del bundle con codesign -dvvv rivela Team ID, entitlements e catena di firma, elementi determinanti per attribuire l'app a uno sviluppatore legittimo o a un certificato abusivo.

Nel caso documentato di Dok (S0281), la persistenza avveniva proprio via AppleScript e System Events, quindi la ricerca forense va estesa ai file .scpt nella home dell'utente e ai log di osascript nell'Unified Log filtrando per il subsystem com.apple.osascript. Per Green Lambert (S0690) e NETWIRE (S0198), l'analista deve cercare login items che puntano a eseguibili in path anomali come /tmp, /private/tmp o /Users/Shared/, tipici delle famiglie che minimizzano la propria footprint sul filesystem.

Altri artefatti utili sono le quarantine flags estese impostate da Gatekeeper (attributo com.apple.quarantine visualizzabile con xattr -l ), che indicano origine e timestamp di download del binario, e il database QuarantineEventsV2 in ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2, che mantiene lo storico dei file scaricati con URL sorgente e user agent — informazioni cruciali per ricostruire il vettore di initial access. Il tool mac_apt (open source) automatizza gran parte di queste estrazioni in un unico framework Python.

Il panorama delle minacce che sfruttano T1547.015 è dominato da tre famiglie malware con profili operativi e obiettivi differenti, tutte concentrate sull'ecosistema macOS — un target storicamente meno colpito rispetto a Windows ma in costante crescita con l'adozione enterprise di Apple Silicon.

NETWIRE (S0198) è un Remote Access Trojan multipiattaforma commerciale, venduto per anni come strumento di monitoraggio legittimo e ampiamente adottato da attori cybercriminali per campagne di credential theft e keylogging. La sua variante macOS utilizza login items come vettore di persistenza standard, tipicamente iniettato dopo campagne di phishing con allegati Office malevoli o installer trojanizzati. NETWIRE è stato oggetto di takedown coordinato dalle forze dell'ordine internazionali nel 2023, ma binari e forni divergenti restano in circolazione, mantenendo la famiglia attiva in operazioni di basso-medio profilo.

Dok (S0281) rappresenta un caso paradigmatico di malware macOS finalizzato al man-in-the-middle bancario. Utilizza AppleScript per inviare Apple Events al processo System Events e installare login items, tecnica esattamente allineata alla descrizione MITRE della sotto-tecnica. Storicamente Dok era distribuito via phishing a target europei — principalmente utenti in Germania, Svizzera e Austria — impersonando comunicazioni fiscali. Dopo l'installazione modificava proxy di sistema e certificati root per intercettare traffico HTTPS verso portali bancari, rendendo la persistenza via login item essenziale per la sopravvivenza dell'operazione MITM tra sessioni.

Green Lambert (S0690) appartiene alla famiglia Lambert, cluster di tool sofisticati attribuiti in letteratura open source ad attori state-sponsored di lingua inglese con capacità offensive di livello elevato. La versione macOS di Green Lambert è emersa nell'analisi di ricercatori come Amnesty International e Kaspersky in campagne di sorveglianza mirata contro giornalisti, dissidenti e figure diplomatiche. L'uso di login items in questo contesto è coerente con l'obiettivo di persistenza a lungo termine su dispositivi personali di target di alto valore, dove la stabilità dell'accesso conta più della velocità di monetizzazione.

Il pattern trasversale che emerge dai tre casi è la convergenza tra crimeware commerciale, minacce bancarie regionali e operazioni di intelligence su una stessa tecnica: login items offrono un compromesso ottimale tra semplicità implementativa, invisibilità per l'utente medio e stabilità cross-reboot. Il trend prevedibile vede un incremento dell'adozione della variante Service Management Framework rispetto alla Shared File List, poiché macOS Ventura ha introdotto notifiche utente per background items, spingendo gli attori a preferire meccanismi più opachi. L'ecosistema di detection deve adattarsi monitorando entrambe le vie con pari attenzione.

MITRE ATT&CK T1547.015 (Login Items), sotto-tecnica di T1547 (Boot or Logon Autostart Execution). Software referenziati: S0198 NETWIRE, S0281 Dok, S0690 Green Lambert. Detection strategy DET0121 con analytic AN0340 su macOS Unified Log. Framework difensivo MITRE D3FEND per artefatti Process, File e User Session. Parti relative a comandi, tool di detection e artefatti forensi integrano conoscenza professionale verificata su documentazione ufficiale Apple, repository Objective-See e Atomic Red Team.