IT-kriminalteknik · macOS

Forensisk analyse af macOS-papirkurven – undersøgelse af slettede og flyttede filer

Når en fil flyttes til papirkurven, fjernes den i normal macOS-drift ikke nødvendigvis fysisk fra filsystemet. Brugerrelaterede papirkurvstrukturer kan derfor indeholde relevante filer og metadata. Først når papirkurven tømmes eller ved andre systemprocesser ændres forudsætningerne for en eventuel gendannelse.

Uforpligtende forespørgsel

I forbindelse med digital kriminalteknik skal der skelnes nøje mellem „flyttet til papirkurven“, „papirkurven tømt“ og „fysisk overskrevet eller ikke længere rekonstruerbar“. Disse tilstande er teknisk set ikke ensbetydende.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi undersøger brugerrelaterede og – hvor det er relevant – volumenrelaterede papirkurvstrukturer for tilstedeværelsen af filer, mapper og metadata. Filnavne, stier, tidsstempler og yderligere filsystemoplysninger sammenholdes med FSEvents, APFS-snapshots og andre spor af aktivitet.

Hvis papirkurven allerede er tømt, undersøges det separat, om andre retsmedicinske kilder stadig indeholder spor eller data, der kan rekonstrueres.

Typiske anvendelsesområder

•Undersøgelse af slettede dokumenter
•Rekonstruktion af slukningsforløb
•Undersøgelser af insiderhandel og dataudstrømning
•Søgning efter filer, der stadig ligger i papirkurven
•Sammenhæng med FSEvents og APFS-snapshots
•Kontrol af sletnings- og ændringsperioder
•Retslige og udenretslige ekspertudtalelser

Sådan foregår den retsmedicinske undersøgelse

Efter sikkerhedskopieringen identificeres de relevante papirkurvsmapper for den undersøgte bruger- eller volumenkontekst. Eksisterende objekter hashes, dokumenteres og analyseres sammen med deres filsystemkontekst.

Der gives ingen garantier for gendannelse, når papirkurven er tømt. APFS, SSD-Trim, kryptering og mellemliggende brug kan have betydelig indflydelse på mulighederne for gendannelse.

Hvorfor er dette undersøgelsesområde relevant i retsmedicinsk sammenhæng?

Papirkurven er en vigtig kilde, når man skal undersøge, hvilke filer en bruger havde valgt at slette, eller hvilke objekter der stadig var til stede, før papirkurven blev tømt.

Et objekt i papirkurven beviser dog ikke automatisk årsagen til sletningen eller identiteten på den person, der har foretaget sletningen. Disse spørgsmål kræver yderligere bruger- og aktivitetsdata.

Ofte stillede spørgsmål

Er en fil i papirkurven allerede slettet endeligt?+
I det normale forløb er det ikke nødvendigvis tilfældet. Den befinder sig i papirkurven og kan ofte stadig være der, før den tømmes.
Kan en tømt papirkurv altid gendannes?+
Nej. Især APFS, SSD-Trim, kryptering og fortsat brug kan forhindre en gendannelse.
Kan en fil i papirkurven afsløre, hvem der har slettet den?+
Ikke alene. Bruger- og sessionskonteksten skal også tages i betragtning.
Kan snapshots være til hjælp, når filer er blevet slettet?+
Eksisterende APFS- eller Time Machine-snapshots kan i visse tilfælde indeholde tidligere tilstande.

LanCologne – macOS-forensik i Köln

Har du brug for en professionel undersøgelse af slettede filer eller macOS-papirkurven? LanCologne hjælper dig med at foretage en retsgyldig sikkerhedskopiering og en teknisk pålidelig rekonstruktion.

Kontakt os nu