IT-rikostutkinta · macOS

Safari-latausten rikostekninen analysointi – ladattujen tiedostojen alkuperän selvittäminen

Ladatut tiedostot ovat usein erityisen tärkeitä haittaohjelmien, tietovuotojen ja käyttäjien toiminnan tutkimuksissa. Safari hallinnoi latauksia, ja macOS voi lisäksi lisätä ladattuihin tiedostoihin turvallisuus- tai karanteenitietoja.

Pyydä sitoumukseton tarjous

Rikosteknologian kannalta on tehtävä ero selaimen latausilmoituksen, tosiasiallisesti tallennetun tiedoston ja myöhemmän suorituksen välillä. Mikään näistä tiloista ei automaattisesti todista seuraavaa vaihetta.

Miksi LanCologne?

Perustamisestaan lähtien LanCologne on keskittynyt ammattimaiseen IT-rikostutkintaan. Henkilökunnallamme on vuosikymmenten kokemus tietotekniikan alalta, ja he avustavat yrityksiä, asianajajia, yksityishenkilöitä sekä säännöllisesti myös tuomioistuimia monimutkaisten digitaalisten tapausten teknisessä selvittämisessä.

Tutkinta suoritetaan periaatteessa yksinomaan rikosteknologisella kopiolla, rikosteknologisella kuvalla tai teknisesti vastaavalla, todistusvoimaisesti tallennetulla tietolähteellä. Alkuperäinen todistusaineisto säilyy muuttumattomana ja sitä säilytetään todistusvoimaisesti.

Palvelumme

Tutkimme Safarista peräisin olevia lataustietoja ja yhdistämme ne olemassa oleviin tiedostoihin, tiedostojen metatietoihin, karanteeni- ja Gatekeeper-kontekstiin sekä selaimen selaushistoriaan. Mahdollisuuksien mukaan dokumentoimme lähde-URL:n, kohdepolun, aikaviitteen ja asiaankuuluvien tiedostojen hajautusarvot.

Epäilyttävien latausten yhteydessä suoritetaan lisävertailu XProtect-, pysyvyys- ja suoritusaikajälkien kanssa.

Tyypillisiä käyttökohteita

•Lataettujen tiedostojen palauttaminen
•Haittaohjelmien ja tietojenkalastelun tutkimukset
•Tiedostojen liittäminen verkkolähteisiin
•Tietojen tuonnin ja asennustiedostojen tarkastus
•Korrelaatio Gatekeeperin ja karanteenin kanssa
•Poistettujen latausobjektien tutkiminen siinä määrin kuin se on teknisesti mahdollista
•Oikeudelliset ja oikeuden ulkopuoliset asiantuntijalausunnot

Näin rikostekninen tutkimus etenee

Varmuuskopioinnin jälkeen selain- ja tiedostojärjestelmätiedot käydään läpi latausviittausten varalta. Tunnistetut tiedostot hajautetaan ja niiden polku, aikaleima, allekirjoitus ja turvallisuusmetatiedot tarkistetaan.

Latausilmoitusta ei pidetä automaattisesti suorituksen todisteena. Sen selvittämiseksi, onko tiedosto avattu tai ohjelma käynnistetty, käytetään apuna muita macOS-tunnisteita.

Miksi tämä tutkimusalue on rikosteknologisesti merkityksellinen?

Lataukset yhdistävät selaimen toiminnan ja paikallisen tiedostojärjestelmän jäljet. Siksi ne voivat olla erityisen merkityksellisiä, kun rekonstruoidaan tartuntaketjua tai tiedoston alkuperää.

Todistusketjun on kuitenkin pysyttävä selkeästi erillisenä: lataaminen, tallentaminen, avaaminen ja suorittaminen ovat erillisiä teknisiä tapahtumia.

Usein kysyttyjä kysymyksiä

Voidaanko ladatun tiedoston alkuperä jäljittää?+
Safari-, karanteeni- ja tiedostojärjestelmän jäänteiden perusteella alkuperäviittaukset voivat olla teknisesti rekonstruoitavissa.
Osoittaako lataaminen, että tiedosto on avattu?+
Ei. Lataaminen ja avaaminen ovat erillisiä tapahtumia.
Ovatko portinvartija- ja karanteenitiedot tässä yhteydessä merkityksellisiä?+
Kyllä. Ne voivat tarjota lisätietoja ladatun tiedoston alkuperästä ja tietoturvakäsittelystä.
Voiko poistettu lataustiedosto jättää jälkiä?+
Mahdollisesti. Kussakin tapauksessa on tarkastettava, onko käyttökelpoisia selain-, tiedostojärjestelmä- tai muita metatietoja säilynyt.

LanCologne – macOS-rikostutkinta Kölnissä

Tarvitsetteko ammattimaista tutkimusta epäilyttävistä tai merkityksellisistä Safari-latauksista? LanCologne auttaa teitä latausten ketjun oikeudenkäyntikelpoisessa varmistamisessa ja teknisessä rekonstruoinnissa.

Ota yhteyttä nyt