IT-rikostutkinta · macOS

LaunchAgentien ja LaunchDaemonien rikostekninen analysointi – pysyvyyden tutkiminen macOS-ympäristössä

launchd ist ein zentraler Dienst für das Starten und Verwalten von Hintergrundprozessen unter macOS. Apple unterscheidet dabei unter anderem zwischen LaunchAgents, die im Kontext eines angemeldeten Benutzers ausgeführt werden können, und LaunchDaemons, die systemweit verwaltet werden und bereits ohne angemeldeten Benutzer laufen können. Konfigurationen werden je nach Mechanismus und macOS-Version über Property-List-Dateien beziehungsweise moderne Service-Management-Strukturen bereitgestellt.

Pyydä sitoumukseton tarjous

Für die Forensik sind diese Mechanismen besonders relevant, weil legitime Software ebenso wie unerwünschte oder schädliche Programme sie für automatischen Start und Persistenz verwenden kann. Das Vorhandensein eines LaunchAgents oder LaunchDaemons ist für sich allein jedoch kein Malware-Nachweis. Entscheidend sind Herkunft, Signatur, Programmpfad, Konfiguration, Zeitbezug und die Korrelation mit weiteren Spuren.

Miksi LanCologne?

Perustamisestaan lähtien LanCologne on keskittynyt ammattimaiseen IT-rikostutkintaan. Henkilökunnallamme on vuosikymmenten kokemus tietotekniikan alalta, ja he avustavat yrityksiä, asianajajia, yksityishenkilöitä sekä säännöllisesti myös tuomioistuimia monimutkaisten digitaalisten tapausten teknisessä selvittämisessä.

Tutkinta suoritetaan periaatteessa yksinomaan rikosteknologisella kopiolla, rikosteknologisella kuvalla tai teknisesti vastaavalla, todistusvoimaisesti tallennetulla tietolähteellä. Alkuperäinen todistusaineisto säilyy muuttumattomana ja sitä säilytetään todistusvoimaisesti.

Palvelumme

Wir erfassen vorhandene LaunchAgent- und LaunchDaemon-Konfigurationen und untersuchen unter anderem Label, Program beziehungsweise ProgramArguments, Startbedingungen, referenzierte ausführbare Dateien und zugehörige Pfade. Benutzerbezogene und systemweite Einträge werden getrennt betrachtet.

Auffällige Einträge werden mit Code-Signing-Informationen, Dateimetadaten, Quarantäne- und Gatekeeper-Kontext, Unified Logs sowie weiteren Persistenz- und Malware-Artefakten korreliert. Bei macOS 13 und neuer berücksichtigen wir zusätzlich die von Apple eingeführten Service-Management-Strukturen für in App-Bundles eingebettete Helper, LaunchAgents und LaunchDaemons.

Tyypillisiä käyttökohteita

•Untersuchung verdächtiger Persistenzmechanismen
•Malware- und Incident-Response-Analysen
•Prüfung automatisch gestarteter Hintergrundprozesse
•Zuordnung von Helper-Komponenten zu Anwendungen
•Analyse manipulierter oder unbekannter Property Lists
•Rekonstruktion systemweiter und benutzerbezogener Autostarts
•Oikeudelliset ja oikeuden ulkopuoliset asiantuntijalausunnot

Näin rikostekninen tutkimus etenee

Nach der beweissicheren Sicherung werden die relevanten Launch-Service-Strukturen inventarisiert. Klassische Pfade wie Benutzer- und lokale LaunchAgents sowie lokale LaunchDaemons werden ebenso berücksichtigt wie neuere, in App-Bundles integrierte Service-Management-Komponenten. Referenzierte Programme werden anschließend auf Existenz, Hashwerte, Signatur, Eigentümer, Berechtigungen und weitere Metadaten geprüft.

Eine Persistenzbewertung erfolgt niemals allein anhand des Dateinamens oder eines einzelnen plist-Schlüssels. Erst die Verbindung aus Konfiguration, ausführbarer Datei, Herkunft, Laufzeitspuren und weiteren Artefakten erlaubt eine belastbare Einordnung.

Miksi tämä tutkimusalue on rikosteknologisesti merkityksellinen?

LaunchAgents und LaunchDaemons gehören zu den wichtigsten legitimen Autostartmechanismen von macOS und sind deshalb zugleich ein relevanter Untersuchungsbereich bei Persistenzverdacht. Apple dokumentiert LaunchAgents als Prozesse im Benutzerkontext und LaunchDaemons als von launchd verwaltete systemweite Hintergrundprozesse.

Forensisch muss zwischen normaler Softwarefunktion, administrativ gewolltem Dienst und missbräuchlicher Persistenz unterschieden werden. Ein ungewöhnlicher Eintrag ist lediglich ein Untersuchungsansatz; eine belastbare Bewertung benötigt zusätzliche technische Belege.

Usein kysyttyjä kysymyksiä

Was ist der Unterschied zwischen LaunchAgent und LaunchDaemon?+
LaunchAgents arbeiten grundsätzlich im Kontext einer Benutzersitzung. LaunchDaemons sind systemweite Hintergrundprozesse und können unabhängig von einer Benutzeranmeldung laufen.
Wo können klassische LaunchAgent-Konfigurationen liegen?+
Apple dokumentiert unter anderem /Library/LaunchAgents und das LaunchAgents-Verzeichnis innerhalb der Benutzer-Library; Apple-eigene Komponenten können zusätzlich im Systembereich liegen.
Ist jeder unbekannte LaunchDaemon verdächtig?+
Nein. Viele legitime Anwendungen installieren Hintergrunddienste. Herkunft, Signatur, Programmpfad und weitere Spuren müssen gemeinsam bewertet werden.
Hat sich der Mechanismus in neueren macOS-Versionen verändert?+
Ja. Seit macOS 13 unterstützt Apple eine modernisierte Service-Management-Struktur, bei der Helper, LaunchAgents und LaunchDaemons innerhalb eines App-Bundles bereitgestellt werden können.

LanCologne – macOS-rikostutkinta Kölnissä

Sie benötigen eine professionelle Analyse von LaunchAgents, LaunchDaemons oder anderen Persistenzmechanismen auf einem Mac? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und der nachvollziehbaren technischen Bewertung.

Ota yhteyttä nyt