Informatique légale · macOS

Analyse forensic des téléchargements de Safari – Examiner l'origine des fichiers téléchargés

Les fichiers téléchargés revêtent souvent une importance particulière dans le cadre des enquêtes sur les logiciels malveillants, les fuites de données et l'activité des utilisateurs. Safari gère les téléchargements et macOS peut en outre associer des informations de sécurité ou de mise en quarantaine aux fichiers téléchargés.

Demande sans engagement

En matière de criminalistique informatique, il convient de faire la distinction entre une notification de téléchargement dans le navigateur, le fichier effectivement enregistré et son exécution ultérieure. Aucun de ces états ne prouve automatiquement l'étape suivante.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons les informations de téléchargement liées à Safari et les mettons en corrélation avec les fichiers existants, les métadonnées des fichiers, le contexte de quarantaine et de Gatekeeper, ainsi que l'historique du navigateur. Dans la mesure du possible, l'URL d'origine, le chemin d'accès de destination, la date et l'heure, ainsi que les valeurs de hachage des fichiers concernés sont consignés.

En cas de téléchargements suspects, une corrélation supplémentaire est effectuée avec les traces XProtect, de persistance et d'exécution.

Domaines d'application typiques

•Reconstruction des fichiers téléchargés
•Enquêtes sur les logiciels malveillants et le hameçonnage
•Association de fichiers à des sources Web
•Vérification des importations de données et des fichiers d'installation
•Corrélation avec Gatekeeper et la quarantaine
•Analyse des objets téléchargés supprimés, dans la mesure où cela est techniquement possible
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'expertise judiciaire

Une fois la sauvegarde effectuée, les données du navigateur et du système de fichiers sont analysées à la recherche de références de téléchargement. Les fichiers identifiés font l'objet d'un hachage et sont vérifiés au niveau du chemin d'accès, de l'horodatage, de la signature et des métadonnées de sécurité.

Une notification de téléchargement n'est pas automatiquement considérée comme une preuve d'exécution. Pour déterminer si un fichier a été ouvert ou si un programme a été lancé, d'autres éléments propres à macOS sont pris en compte.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

Les téléchargements établissent un lien entre l'activité du navigateur et les traces laissées dans le système de fichiers local. Ils peuvent donc s'avérer particulièrement utiles pour reconstituer la chaîne d'infection ou déterminer l'origine d'un fichier.

La chaîne de preuves doit néanmoins rester clairement distincte : le téléchargement, l'enregistrement, l'ouverture et l'exécution sont des événements techniques distincts.

Foire aux questions

Est-il possible de retracer l'origine d'un fichier téléchargé ?+
En fonction des traces laissées par Safari, la quarantaine et le système de fichiers, il peut être techniquement possible de reconstituer les références d'origine.
Le fait de télécharger un fichier prouve-t-il que celui-ci a été ouvert ?+
Non. Le téléchargement et l'ouverture sont deux opérations distinctes.
Les données relatives au filtrage et à la quarantaine sont-elles pertinentes dans ce contexte ?+
Oui. Vous pouvez fournir des informations supplémentaires sur l'origine et le niveau de sécurité d'un fichier téléchargé.
Un fichier téléchargé qui a été supprimé peut-il encore laisser des traces ?+
C'est possible. Il convient de vérifier au cas par cas si des métadonnées exploitables (provenant du navigateur, du système de fichiers ou d'autres sources) ont été conservées.

LanCologne – Analyse judiciaire de macOS à Cologne

Vous avez besoin d'une analyse professionnelle des téléchargements suspects ou pertinents effectués via Safari ? LanCologne vous aide à réaliser une sauvegarde conforme aux exigences judiciaires et à reconstituer techniquement la chaîne de téléchargement.

Nous contacter dès maintenant