IT-Forensik · macOS

Safari Downloads forensisch analysieren – Herkunft heruntergeladener Dateien untersuchen

Heruntergeladene Dateien sind bei Malware-, Datenabfluss- und Benutzeraktivitätsuntersuchungen häufig von besonderer Bedeutung. Safari verwaltet Downloads und macOS kann heruntergeladene Dateien zusätzlich mit Sicherheits- beziehungsweise Quarantäneinformationen versehen.

Demande sans engagement

Für die Forensik muss zwischen einem Browser-Downloadhinweis, der tatsächlich gespeicherten Datei und einer späteren Ausführung unterschieden werden. Keiner dieser Zustände beweist automatisch den jeweils nächsten Schritt.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

Die Untersuchung erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer technisch gleichwertig beweissicher erfassten Datenquelle. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.

Nos services

Wir untersuchen Safari-bezogene Downloadinformationen und korrelieren sie mit vorhandenen Dateien, Dateimetadaten, Quarantäne- und Gatekeeper-Kontext sowie Browserhistorie. Soweit möglich werden Herkunfts-URL, Zielpfad, Zeitbezug und Hashwerte relevanter Dateien dokumentiert.

Bei verdächtigen Downloads erfolgt eine zusätzliche Korrelation mit XProtect-, Persistenz- und Laufzeitspuren.

Domaines d'application typiques

•Rekonstruktion heruntergeladener Dateien
•Malware- und Phishing-Untersuchungen
•Zuordnung von Dateien zu Webquellen
•Prüfung von Datenimporten und Installationsdateien
•Korrelation mit Gatekeeper und Quarantäne
•Untersuchung gelöschter Downloadobjekte soweit technisch möglich
•Expertises judiciaires et extrajudiciaires

So läuft die forensische Untersuchung ab

Nach der Sicherung werden Browser- und Dateisystemdaten nach Downloadbezügen durchsucht. Identifizierte Dateien werden gehasht und auf Pfad, Zeitstempel, Signatur und Sicherheitsmetadaten geprüft.

Ein Downloadhinweis wird nicht automatisch als Ausführungsnachweis bewertet. Für die Frage, ob eine Datei geöffnet oder ein Programm gestartet wurde, werden zusätzliche macOS-Artefakte herangezogen.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

Downloads verbinden Browseraktivität und lokale Dateisystemspuren. Dadurch können sie bei der Rekonstruktion einer Infektionskette oder der Herkunft einer Datei besonders aussagekräftig sein.

Die Beweiskette muss dennoch sauber getrennt bleiben: Download, Speicherung, Öffnung und Ausführung sind unterschiedliche technische Ereignisse.

Foire aux questions

Kann die Herkunft einer heruntergeladenen Datei nachvollzogen werden?+
Je nach vorhandenen Safari-, Quarantäne- und Dateisystemartefakten können Herkunftsbezüge technisch rekonstruierbar sein.
Beweist ein Download, dass die Datei geöffnet wurde?+
Nein. Download und Öffnung sind getrennte Ereignisse.
Sind Gatekeeper- und Quarantänedaten dabei relevant?+
Ja. Sie können zusätzlichen Kontext zur Herkunft und Sicherheitsbehandlung einer heruntergeladenen Datei liefern.
Kann eine gelöschte Downloaddatei noch Spuren hinterlassen?+
Möglicherweise. Ob verwertbare Browser-, Dateisystem- oder andere Metadaten erhalten sind, muss im konkreten Fall geprüft werden.

LanCologne – macOS-Forensik in Köln

Sie benötigen eine professionelle Untersuchung verdächtiger oder relevanter Safari-Downloads? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und technischen Rekonstruktion der Downloadkette.

Nous contacter dès maintenant