Informática forense · macOS

Análisis forense de las descargas de Safari: investigar el origen de los archivos descargados

Los archivos descargados suelen revestir una importancia especial en las investigaciones sobre malware, fugas de datos y actividad de los usuarios. Safari gestiona las descargas y, además, macOS puede añadir información de seguridad o de cuarentena a los archivos descargados.

Solicitar información sin compromiso

En el ámbito forense, hay que distinguir entre un aviso de descarga del navegador, el archivo realmente guardado y su posterior ejecución. Ninguno de estos estados demuestra automáticamente el paso siguiente.

¿Por qué LanCologne?

Desde su fundación, LanCologne se ha dedicado principalmente a la informática forense profesional. Nuestros empleados cuentan con décadas de experiencia en el ámbito de las tecnologías de la información y prestan apoyo a empresas, abogados, particulares y, con frecuencia, también a los tribunales en la investigación técnica de casos digitales complejos.

El análisis se lleva a cabo, por regla general, exclusivamente sobre una copia forense, una imagen forense o una fuente de datos capturada de forma técnicamente equivalente y que garantice la integridad de las pruebas. La prueba original permanece inalterada y se conserva de forma que se garantice la integridad de las pruebas.

Nuestros servicios

Analizamos la información de descargas relacionada con Safari y la relacionamos con los archivos existentes, los metadatos de los archivos, el contexto de cuarentena y de Gatekeeper, así como el historial del navegador. En la medida de lo posible, se documentan la URL de origen, la ruta de destino, la fecha y hora y los valores hash de los archivos relevantes.

En el caso de descargas sospechosas, se realiza una correlación adicional con los rastros de XProtect, de persistencia y de tiempo de ejecución.

Ámbitos de aplicación habituales

•Recuperación de archivos descargados
•Investigaciones sobre malware y phishing
•Asignación de archivos a fuentes web
•Comprobación de las importaciones de datos y los archivos de instalación
•Correlación con Gatekeeper y la cuarentena
•Análisis de los archivos descargados que se hayan eliminado, en la medida en que sea técnicamente posible
•Peritajes judiciales y extrajudiciales

Así es como se lleva a cabo la investigación forense

Tras la copia de seguridad, se analizan los datos del navegador y del sistema de archivos en busca de referencias de descargas. Los archivos identificados se someten a un cálculo de hash y se comprueban su ruta, marca de tiempo, firma y metadatos de seguridad.

Una notificación de descarga no se considera automáticamente una prueba de ejecución. Para determinar si se ha abierto un archivo o se ha iniciado un programa, se tienen en cuenta otros indicadores de macOS.

¿Por qué este ámbito de investigación es relevante desde el punto de vista forense?

Las descargas relacionan la actividad del navegador con los rastros del sistema de archivos local. Por ello, pueden resultar especialmente reveladoras a la hora de reconstruir una cadena de infección o el origen de un archivo.

No obstante, la cadena de pruebas debe mantenerse claramente separada: la descarga, el almacenamiento, la apertura y la ejecución son eventos técnicos distintos.

Preguntas frecuentes

¿Se puede rastrear el origen de un archivo descargado?+
En función de los rastros disponibles de Safari, la cuarentena y el sistema de archivos, es posible reconstruir técnicamente las referencias de origen.
¿Una descarga demuestra que se ha abierto el archivo?+
No. La descarga y la apertura son acciones distintas.
¿Son relevantes los datos de los «gatekeepers» y de la cuarentena?+
Sí. Pueden aportar información adicional sobre el origen y el tratamiento de seguridad de un archivo descargado.
¿Puede un archivo descargado que se ha eliminado dejar algún rastro?+
Es posible. Habrá que comprobar en cada caso concreto si se han conservado metadatos útiles del navegador, del sistema de archivos o de otro tipo.

LanCologne – Análisis forense de macOS en Colonia

¿Necesita un análisis profesional de descargas sospechosas o relevantes de Safari? LanCologne le ayuda a realizar un kopio de seguridad admisible ante los tribunales y a llevar a cabo la reconstrucción técnica de la cadena de descargas.

Ponte en contacto con nosotros ahora