Informática forense · macOS

Análise forense dos Serviços de Inicialização – Avaliar as associações de aplicações e documentos no macOS

Launch Services ist eine macOS-Systemkomponente zur Verwaltung des Öffnens von Anwendungen, Dokumenten und URLs. Apple dokumentiert unter anderem die Zuordnung bevorzugter Anwendungen zu Dokument- und URL-Typen, die Registrierung unterstützter Dateitypen sowie die Pflege von Inhalten für das Menü der zuletzt verwendeten Objekte.

Pedido de informação sem compromisso

Für die Forensik ist Launch Services deshalb als Kontextquelle für installierte beziehungsweise registrierte Anwendungen, Dateitypzuordnungen und bestimmte Recent-Items-Bezüge interessant. Eine Registrierung oder Zuordnung beweist jedoch nicht, dass ein bestimmtes Dokument tatsächlich von einer bestimmten Person geöffnet wurde.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Wir untersuchen vorhandene Launch-Services-bezogene Daten und ordnen registrierte Anwendungen, Bundle-Identifier, Dokument- beziehungsweise URL-Typen und weitere verfügbare Zuordnungen technisch ein. Relevante Befunde werden mit installierten App-Bundles, Dateimetadaten, Recent-Items-Artefakten, Unified Logs und weiteren Nutzungsartefakten abgeglichen.

Dabei wird strikt zwischen Systemregistrierung, bevorzugter App-Zuordnung und tatsächlich belegbarer Nutzung unterschieden.

Áreas de aplicação típicas

•Analyse installierter und registrierter Anwendungen
•Untersuchung von Dokument- und URL-Zuordnungen
•Ergänzung von Recent-Items-Untersuchungen
•Rekonstruktion von App-Kontexten
•Análises de malware e de resposta a incidentes
•Korrelation mit Datei- und Benutzeraktivitäten
•Pareceres judiciais e extrajudiciais

É assim que decorre a investigação forense

Nach der beweissicheren Sicherung werden verfügbare Launch-Services-Datenbestände identifiziert und mit dem App-Bestand des Systems abgeglichen. Bundle-Informationen und Dateityp- beziehungsweise URL-Zuordnungen werden dokumentiert.

Soweit Recent-Items- oder Nutzungsbezüge vorhanden sind, werden diese mit weiteren Artefakten korreliert. Aus einer bloßen Registrierung einer Anwendung wird weder eine Ausführung noch eine konkrete Benutzerhandlung abgeleitet.

Por que razão esta área de investigação é relevante do ponto de vista forense?

Launch Services bildet einen wichtigen Teil der macOS-Anwendungs- und Dokumentinfrastruktur. Die Daten können erklären, welche Anwendung für einen Dateityp vorgesehen war, welche App-Informationen dem System bekannt waren oder in welchem Kontext weitere Artefakte zu verstehen sind.

Forensisch ist insbesondere die Trennung zwischen Konfiguration und Nutzung entscheidend. Ein registriertes App-Bundle ist zunächst ein Systemzustand; ein tatsächlicher Start oder das Öffnen eines Dokuments benötigt zusätzliche Belege.

Perguntas frequentes

Was macht Launch Services?+
Launch Services unterstützt macOS beim Öffnen von Apps, Dokumenten und URLs sowie bei der Zuordnung bevorzugter Anwendungen.
Kann Launch Services Informationen zu Recent Items verwalten?+
Ja. Apple dokumentiert, dass Launch Services Inhalte des Recent-Items-Menüs pflegen und aktualisieren kann.
Beweist eine registrierte Anwendung, dass sie ausgeführt wurde?+
Nein. Registrierung und tatsächliche Ausführung sind unterschiedliche Sachverhalte.
Kann Launch Services bei der Dokumentenforensik helfen?+
Ja, insbesondere als Kontext für Dateityp- und App-Zuordnungen; konkrete Nutzung muss jedoch durch weitere Artefakte gestützt werden.

LanCologne – Análise forense do macOS em Colónia

Sie benötigen eine professionelle Analyse von Launch-Services- und App-Zuordnungsdaten? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung und nachvollziehbaren technischen Einordnung.

Entre em contacto connosco agora