IT-kriminalteknik · macOS

Forensisk analyse af Safari-downloads – undersøgelse af oprindelsen til downloadede filer

Heruntergeladene Dateien sind bei Malware-, Datenabfluss- und Benutzeraktivitätsuntersuchungen häufig von besonderer Bedeutung. Safari verwaltet Downloads und macOS kann heruntergeladene Dateien zusätzlich mit Sicherheits- beziehungsweise Quarantäneinformationen versehen.

Uforpligtende forespørgsel

Für die Forensik muss zwischen einem Browser-Downloadhinweis, der tatsächlich gespeicherten Datei und einer späteren Ausführung unterschieden werden. Keiner dieser Zustände beweist automatisch den jeweils nächsten Schritt.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Wir untersuchen Safari-bezogene Downloadinformationen und korrelieren sie mit vorhandenen Dateien, Dateimetadaten, Quarantäne- und Gatekeeper-Kontext sowie Browserhistorie. Soweit möglich werden Herkunfts-URL, Zielpfad, Zeitbezug und Hashwerte relevanter Dateien dokumentiert.

Bei verdächtigen Downloads erfolgt eine zusätzliche Korrelation mit XProtect-, Persistenz- und Laufzeitspuren.

Typiske anvendelsesområder

•Rekonstruktion heruntergeladener Dateien
•Undersøgelser af malware og phishing
•Zuordnung von Dateien zu Webquellen
•Prüfung von Datenimporten und Installationsdateien
•Korrelation mit Gatekeeper und Quarantäne
•Untersuchung gelöschter Downloadobjekte soweit technisch möglich
•Retslige og udenretslige ekspertudtalelser

Sådan foregår den retsmedicinske undersøgelse

Nach der Sicherung werden Browser- und Dateisystemdaten nach Downloadbezügen durchsucht. Identifizierte Dateien werden gehasht und auf Pfad, Zeitstempel, Signatur und Sicherheitsmetadaten geprüft.

Ein Downloadhinweis wird nicht automatisch als Ausführungsnachweis bewertet. Für die Frage, ob eine Datei geöffnet oder ein Programm gestartet wurde, werden zusätzliche macOS-Artefakte herangezogen.

Hvorfor er dette undersøgelsesområde relevant i retsmedicinsk sammenhæng?

Downloads verbinden Browseraktivität und lokale Dateisystemspuren. Dadurch können sie bei der Rekonstruktion einer Infektionskette oder der Herkunft einer Datei besonders aussagekräftig sein.

Die Beweiskette muss dennoch sauber getrennt bleiben: Download, Speicherung, Öffnung und Ausführung sind unterschiedliche technische Ereignisse.

Ofte stillede spørgsmål

Kann die Herkunft einer heruntergeladenen Datei nachvollzogen werden?+
Je nach vorhandenen Safari-, Quarantäne- und Dateisystemartefakten können Herkunftsbezüge technisch rekonstruierbar sein.
Beweist ein Download, dass die Datei geöffnet wurde?+
Nein. Download und Öffnung sind getrennte Ereignisse.
Sind Gatekeeper- und Quarantänedaten dabei relevant?+
Ja. Sie können zusätzlichen Kontext zur Herkunft und Sicherheitsbehandlung einer heruntergeladenen Datei liefern.
Kann eine gelöschte Downloaddatei noch Spuren hinterlassen?+
Möglicherweise. Ob verwertbare Browser-, Dateisystem- oder andere Metadaten erhalten sind, muss im konkreten Fall geprüft werden.

LanCologne – macOS-forensik i Köln

Sie benötigen eine professionelle Untersuchung verdächtiger oder relevanter Safari-Downloads? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und technischen Rekonstruktion der Downloadkette.

Kontakt os nu