Informática forense · macOS

Análise forense de ficheiros Plist do macOS – Avaliação de configurações e estados

As listas de propriedades, ou «plists», são um formato de dados fundamental no macOS e nas aplicações da Apple. Podem conter definições, estados e outras informações estruturadas, e podem estar disponíveis tanto no formato XML como no formato binário de lista de propriedades.

Pedido de informação sem compromisso

Na análise forense, os ficheiros Plist são frequentemente fontes valiosas de contexto. No entanto, o significado de cada chave depende da aplicação em questão, da versão do macOS e da sua implementação. Os campos desconhecidos não devem ser interpretados apenas com base no seu nome.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Identificamos ficheiros Property List relevantes para cada caso e analisamos a sua estrutura, chaves e valores no contexto específico da aplicação ou do sistema. Os ficheiros Plist binários são descodificados de forma adequada, sem alterar o original.

As informações relativas ao tempo e ao estado são comparadas com os metadados do sistema de ficheiros, os registos unificados e outros artefactos.

Áreas de aplicação típicas

•Análise das definições do utilizador e do sistema
•Análise das preferências de utilização
•Análises de malware e persistência
•Reconstrução de alterações de configuração
•Verificação de listas de preferências binárias e baseadas em XML
•Correlação com dados do sistema de ficheiros e dados de registo
•Pareceres judiciais e extrajudiciais

É assim que decorre a investigação forense

Após a cópia de segurança, os ficheiros «plist» relevantes são selecionados com base no problema em questão e analisados do ponto de vista estrutural. Os tipos de dados, as chaves e os valores são documentados e — sempre que necessário — comparados com as informações de versão da aplicação correspondente.

As chaves não documentadas só são avaliadas quanto ao seu conteúdo se o seu significado for comprovado de forma fiável por outras provas técnicas.

Por que razão esta área de investigação é relevante do ponto de vista forense?

Os ficheiros «plist» estão presentes em praticamente todas as áreas da análise forense do macOS. Podem documentar estados de configuração importantes e ajudar a compreender outros artefactos.

Ao mesmo tempo, existe um risco elevado de interpretação errada quando as chaves são interpretadas sem se conhecer a versão do software ou a implementação em questão.

Perguntas frequentes

O que é um ficheiro Plist?+
Uma Property List é um formato de dados estruturado utilizado pelo macOS e por muitas aplicações para guardar definições e outros dados.
Existem plists binárias?+
Sim. As listas de propriedades podem estar, entre outros, nos formatos XML e binário.
É possível interpretar cada chave do Plist de forma inequívoca?+
Não. O significado e a utilização dependem da aplicação e da versão.
Será que os ficheiros «plist» constituem, por si só, uma prova das ações do utilizador?+
Não necessariamente. Muitos valores descrevem a configuração ou o estado e têm de ser correlacionados com artefactos de atividade.

LanCologne – Análise forense do macOS em Colónia

Precisa de uma análise profissional de ficheiros de lista de propriedades do macOS? A LanCologne presta-lhe apoio na obtenção de provas admissíveis em tribunal e na avaliação tecnicamente rigorosa.

Entre em contacto connosco agora