IT forenzika · macOS

Forenzička analiza stavki prijave i pozadinskih usluga – Rekonstrukcija automatskog pokretanja programa

macOS može automatski otvoriti aplikacije, dokumente, mape ili Server veze kada se prijavite. Osim toga, aplikacije mogu izvršavati zadatke u pozadini čak i kada njihova glavna instanca nije otvorena. U najnovijim verzijama macOS-a Apple grupira te funkcije pod „Login Items & Extensions“ i pruža programerima mehanizme za Login Items, LaunchAgents i LaunchDaemons putem Service Management Frameworka.

Upitajte bez obaveze

U području forenzike ove konfiguracije mogu pružiti naznake o tome koji je softver bio namijenjen automatskom pokretanju ili pozadinskoj aktivnosti. Međutim, one ne dokazuju automatski da je program zaista bio pokrenut u određenom trenutku. Za to su potrebni dodatni tragovi izvršavanja i sustava.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Pregledavamo postojeće konfiguracije stavki za prijavu i pozadinskih zadataka, dodjeljujemo ih relevantnim aplikacijama i programerima te provjeravamo postoje li odgovarajuće programske datoteke i dalje. Za novije verzije macOS-a uzimaju se u obzir moderni unosi za upravljanje uslugama i pripadajuće strukture paketa aplikacija.

Rezultati su unakrsno provjereni s LaunchServices, LaunchAgents i LaunchDaemons, informacijama o potpisivanju koda, objedinjenim zapisima, metapodacima datoteka i drugim artefaktima specifičnim za slučaj. To omogućuje razlikovanje između konfiguriranog automatskog pokretanja i stvarno provjerljive izvedbe.

Tipična područja primjene

•Istraga o automatskom pokretanju programa
•Analiza sumnjivih pozadinskih aktivnosti
•Istraživanja zlonamjernog softvera i postojanosti
•Testiranje komponenti Helper i Updater
•Odgovor na incident na macOS-u
•Mapiranje pozadinskih usluga na instalirani softver
•Sudski i nerasudski vještački nalazi

Ovo je način na koji se provodi forenzička istraga.

Prvo se bilježe konfiguracije dostupne na forenzičkoj kopiji za stavke za prijavu i pozadinske usluge. Zatim se provjeravaju identifikatori paketa, oznake usluga, putanje programa, reference programera i postojeće izvršne komponente.

Za macOS 13 i novije verzije uzimamo u obzir modernizirano upravljanje stavkama za prijavu i pozadinskim zadacima koje je uveo Apple. Za macOS 26 i novije verzije također je važno napomenuti da se korisnici mogu upitati za dopuštenje za određene tekuće pozadinske zadatke nakon zatvaranja aplikacije. Razlike specifične za pojedine verzije stoga su izričito dokumentirane.

Zašto je ovo područje istraživanja relevantno za forenziku?

Elementi za prijavu i pozadinske usluge mogu objasniti zašto se softver aktivira nakon što se korisnik prijavi ili neovisno o vidljivoj glavnoj aplikaciji. To je jednako relevantno pri istraživanju trajnosti, neželjenih programa i legitimnih korporativnih agenata.

Međutim, konfiguracija ne predstavlja pouzdan dokaz izvršenja. Potrebno je konzultirati dodatne artefakte kako bi se donijeli zaključci o stvarnim vremenima izvršenja ili radnjama korisnika.

Često postavljana pitanja

Što su stavke za prijavu?+
Ovo su stavke koje macOS može automatski otvoriti ili pokrenuti kada se korisnik prijavi.
Što znači „Omogući u pozadini“?+
Ovo omogućuje aplikaciji da obavlja određene zadatke čak i kada njezina glavna aplikacija nije otvorena.
Dokazuje li stavka za prijavu da je aplikacija zaista bila pokrenuta?+
Ne. U početku prikazuje konfiguraciju automatskog pokretanja. Specifično izvršenje mora biti dodijeljeno putem dodatnih staza.
Jesu li Login Items i LaunchAgents ista stvar?+
Ne. To su različiti mehanizmi, od kojih neki djeluju zajedno. Apple integrira svoje upravljanje bliže unutar suvremenih funkcija upravljanja uslugama.

LanCologne – macOS forenzika u Kölnu

Trebate li profesionalnu analizu stavki prijave ili pozadinskih usluga na macOS-u? LanCologne vam može pomoći u forenzički ispravnom očuvanju i praćenoj rekonstrukciji mehanizama automatskog pokretanja i pozadinskih procesa.

Kontaktirajte nas odmah