Informatique légale · macOS

Analyse approfondie des LaunchAgents et des LaunchDaemons – Étude de la persistance sous macOS

launchd est un service centralisé permettant de démarrer et de gérer les processus en arrière-plan sous macOS. Apple distingue notamment les LaunchAgents, qui peuvent être exécutés dans le contexte d'un utilisateur connecté, et les LaunchDaemons, qui sont gérés à l'échelle du système et peuvent s'exécuter même en l'absence d'utilisateur connecté. Les configurations sont fournies, selon le mécanisme et la version de macOS, via des fichiers de liste de propriétés ou des structures modernes de gestion des services.

Demande sans engagement

Ces mécanismes revêtent une importance particulière pour l'analyse forensique, car aussi bien les logiciels légitimes que les programmes indésirables ou malveillants peuvent les utiliser pour s'exécuter automatiquement et assurer leur persistance. La présence d'un LaunchAgent ou d'un LaunchDaemon ne constitue toutefois pas en soi une preuve de la présence d'un logiciel malveillant. Ce qui est déterminant, ce sont l'origine, la signature, le chemin d'accès au programme, la configuration, la date et l'heure, ainsi que la corrélation avec d'autres traces.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous recensons les configurations existantes de LaunchAgent et LaunchDaemon et examinons notamment le libellé, le programme ou les arguments du programme, les conditions de démarrage, les fichiers exécutables référencés et les chemins d'accès associés. Les entrées spécifiques à l'utilisateur et celles à l'échelle du système sont traitées séparément.

Les entrées suspectes sont mises en corrélation avec les informations de signature de code, les métadonnées des fichiers, le contexte de quarantaine et de Gatekeeper, les journaux unifiés, ainsi que d’autres artefacts liés à la persistance et aux logiciels malveillants. Sous macOS 13 et versions ultérieures, nous prenons également en compte les structures de gestion des services mises en place par Apple pour les « helpers », « LaunchAgents » et « LaunchDaemons » intégrés dans les bundles d'applications.

Domaines d'application typiques

Voici comment se déroule l'expertise judiciaire

Une fois la sauvegarde effectuée de manière fiable, les structures de services de lancement concernées sont répertoriées. Les chemins d'accès classiques, tels que les LaunchAgents utilisateur et locaux ainsi que les LaunchDaemons locaux, sont pris en compte au même titre que les composants de gestion des services plus récents, intégrés dans les bundles d'applications. Les programmes référencés sont ensuite vérifiés quant à leur existence, leurs valeurs de hachage, leur signature, leur propriétaire, leurs autorisations et d’autres métadonnées.

Une évaluation de la persistance ne repose jamais uniquement sur le nom du fichier ou sur une seule clé plist. Seule la combinaison de la configuration, du fichier exécutable, de l'origine, des traces d'exécution et d'autres éléments permet une classification fiable.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

Les LaunchAgents et les LaunchDaemons comptent parmi les principaux mécanismes légitimes de démarrage automatique de macOS et constituent donc un domaine d'investigation pertinent en cas de suspicion de persistance. Apple décrit les LaunchAgents comme des processus s'exécutant dans le contexte de l'utilisateur et les LaunchDaemons comme des processus d'arrière-plan à l'échelle du système gérés par launchd.

D'un point de vue médico-légal, il convient de faire la distinction entre le fonctionnement normal d'un logiciel, un service mis en place à des fins administratives et une persistance abusive. Une entrée inhabituelle ne constitue qu'un point de départ pour l'enquête ; une évaluation solide nécessite des preuves techniques supplémentaires.

Foire aux questions

LanCologne – Analyse judiciaire de macOS à Cologne

Vous avez besoin d'une analyse professionnelle des LaunchAgents, LaunchDaemons ou d'autres mécanismes de persistance sur un Mac ? LanCologne vous aide à réaliser une sauvegarde recevable devant les tribunaux et une évaluation technique traçable.

Nous contacter dès maintenant