IT forenzika · macOS

Forenzní analýza stažených souborů v prohlížeči Safari – vyšetření původu stažených souborů

Stažené soubory mají často zásadní význam při vyšetřování případů malwaru, úniku dat a uživatelské aktivity. Safari spravuje stažené soubory a systém macOS může navíc ke staženým souborům přidávat informace o bezpečnosti či karanténě.

Nezávazná poptávka

Z hlediska forenzní analýzy je třeba rozlišovat mezi upozorněním prohlížeče na stažení, skutečně uloženým souborem a jeho pozdějším spuštěním. Žádný z těchto stavů automaticky nedokazuje následující krok.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a pomáhají firmám, advokátům, soukromým osobám a pravidelně také soudům při technickém objasňování složitých digitálních případů.

Vyšetřování se zásadně provádí výhradně na forenzní kopii, forenzním obrazu nebo technicky rovnocenném zdroji dat, který byl zaznamenán způsobem zajišťujícím důkazní hodnotu. Původní důkazní materiál zůstává nezměněn a je uchováván způsobem zajišťujícím důkazní hodnotu.

Naše služby

Analyzujeme informace o stahování související s prohlížečem Safari a porovnáváme je s existujícími soubory, metadaty souborů, kontextem karantény a Gatekeeperu a také s historií prohlížeče. V rámci možností dokumentujeme zdrojovou URL, cílovou cestu, časové údaje a hash hodnoty příslušných souborů.

V případě podezřelých stažení dochází k dodatečné korelaci se stopami z XProtect, stopami perzistence a stopami z doby běhu.

Typické oblasti použití

•Obnova stažených souborů
•Vyšetřování případů malwaru a phishingu
•Přiřazení souborů k webovým zdrojům
•Kontrola importovaných dat a instalačních souborů
•Korelace s funkcí Gatekeeper a karanténou
•Vyšetřování smazaných stažených souborů, pokud je to technicky možné
•Soudní a mimosoudní posudky

Takto probíhá forenzní vyšetřování

Po zálohování se data z prohlížeče a souborového systému prohledají na základě informací o stažení. Identifikované soubory se podroby hashování a zkontrolují se z hlediska cesty, časového razítka, podpisu a bezpečnostních metadat.

Upozornění na stažení se automaticky nepovažuje za důkaz spuštění. K určení, zda byl soubor otevřen nebo program spuštěn, se využívají další údaje systému macOS.

Proč je tato oblast vyšetřování relevantní z forenzního hlediska?

Stažené soubory propojují aktivitu v prohlížeči se stopami v lokálním souborovém systému. Díky tomu mohou být obzvláště významné při rekonstrukci řetězce infekce nebo při určování původu souboru.

Řetězec důkazů však musí zůstat jasně oddělený: stažení, uložení, otevření a spuštění jsou různé technické události.

Často kladené otázky

Lze zjistit původ staženého souboru?+
V závislosti na dostupných artefaktech z prohlížeče Safari, karantény a souborového systému lze technicky rekonstruovat odkazy na původ.
Dokazuje stažení, že byl soubor otevřen?+
Ne. Stažení a otevření jsou dvě samostatné události.
Jsou v tomto kontextu relevantní údaje o gatekeeperu a karanténě?+
Ano. Můžete poskytnout další informace o původu a bezpečnostním zacházení se staženým souborem.
Může smazaný stažený soubor zanechat nějaké stopy?+
Možná. V konkrétním případě je třeba ověřit, zda se zachovaly využitelné metadata z prohlížeče, souborového systému nebo jiná metadata.

LanCologne – Forenzní analýza systému macOS v Kolíně nad Rýnem

Potřebujete profesionální prověření podezřelých nebo relevantních souborů stažených v prohlížeči Safari? Společnost LanCologne vám pomůže s pořízením důkazů splňujících soudní požadavky a s technickou rekonstrukcí řetězce stažení.

Kontaktujte nás hned teď