Informatique légale · macOS

Analyse forensic des éléments de connexion et des services d'arrière-plan – Reconstitution des lancements automatiques de programmes

macOS kann Anwendungen, Dokumente, Ordner oder Serververbindungen beim Anmelden automatisch öffnen. Zusätzlich können Apps Hintergrundaufgaben ausführen, auch wenn ihre Hauptanwendung nicht geöffnet ist. Apple bündelt diese Funktionen in aktuellen macOS-Versionen unter „Login Items & Extensions“ und stellt Entwicklern über das Service-Management-Framework Mechanismen für Login Items, LaunchAgents und LaunchDaemons bereit.

Demande sans engagement

Für die Forensik können diese Konfigurationen Hinweise darauf geben, welche Software für automatischen Start oder Hintergrundaktivität vorgesehen war. Sie beweisen jedoch nicht ohne Weiteres, dass ein Programm zu einem bestimmten Zeitpunkt tatsächlich ausgeführt wurde. Dafür sind zusätzliche Laufzeit- und Systemspuren erforderlich.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Wir untersuchen vorhandene Login-Item- und Background-Task-Konfigurationen, ordnen sie den zugehörigen Anwendungen und Entwicklern zu und prüfen, ob korrespondierende Programmdateien noch vorhanden sind. Bei neueren macOS-Versionen werden moderne Service-Management-Einträge und die zugehörigen App-Bundle-Strukturen berücksichtigt.

Die Ergebnisse werden mit LaunchServices, LaunchAgents und LaunchDaemons, Code-Signing-Informationen, Unified Logs, Dateimetadaten und weiteren fallbezogenen Artefakten abgeglichen. Dadurch lässt sich zwischen konfiguriertem Autostart und tatsächlich nachweisbarer Ausführung unterscheiden.

Domaines d'application typiques

•Untersuchung automatischer Programmstarts
•Analyse verdächtiger Hintergrundaktivitäten
•Malware- und Persistenzuntersuchungen
•Prüfung von Helper- und Updater-Komponenten
•Incident Response auf macOS
•Zuordnung von Hintergrunddiensten zu installierter Software
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'expertise judiciaire

Zunächst werden die auf der forensischen Kopie verfügbaren Konfigurationen für Login Items und Hintergrunddienste erfasst. Anschließend werden Bundle-Identifier, Service-Labels, Programmpfade, Entwicklerbezüge und vorhandene ausführbare Komponenten geprüft.

Bei macOS 13 und neuer berücksichtigen wir die von Apple eingeführte modernisierte Verwaltung von Login Items und Background Tasks. Bei macOS 26 und neuer ist zusätzlich relevant, dass Benutzer bei bestimmten weiterlaufenden Hintergrundaufgaben nach dem Beenden einer App zur Erlaubnis aufgefordert werden können. Versionsabhängige Unterschiede werden deshalb ausdrücklich dokumentiert.

En quoi ce domaine d'étude présente-t-il un intérêt sur le plan médico-légal ?

Login Items und Hintergrunddienste können erklären, warum Software nach einer Anmeldung oder unabhängig von der sichtbaren Hauptanwendung aktiv wird. Dies ist bei der Untersuchung von Persistenz, unerwünschten Programmen und legitimen Unternehmensagenten gleichermaßen relevant.

Eine Konfiguration ist jedoch kein sicherer Ausführungsnachweis. Für Aussagen über tatsächliche Laufzeiten oder Benutzerhandlungen müssen weitere Artefakte herangezogen werden.

Foire aux questions

Was sind Login Items?+
Das sind Elemente, die macOS beim Anmelden eines Benutzers automatisch öffnen beziehungsweise starten kann.
Was bedeutet „Im Hintergrund erlauben“?+
Damit kann eine App bestimmte Aufgaben ausführen, obwohl ihre Hauptanwendung nicht geöffnet ist.
Beweist ein Login Item, dass die App tatsächlich lief?+
Nein. Es zeigt zunächst eine Autostart-Konfiguration. Eine konkrete Ausführung muss durch zusätzliche Spuren belegt werden.
Sind Login Items und LaunchAgents identisch?+
Nein. Es handelt sich um unterschiedliche, teilweise zusammenwirkende Mechanismen. Apple fasst ihre Verwaltung in modernen Service-Management-Funktionen enger zusammen.

LanCologne – Analyse judiciaire de macOS à Cologne

Sie benötigen eine professionelle Untersuchung von Login Items oder Hintergrunddiensten unter macOS? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und der nachvollziehbaren Rekonstruktion von Autostart- und Hintergrundmechanismen.

Nous contacter dès maintenant