IT-forensik · macOS

Forensisk analys av inloggningsposter och bakgrundstjänster – Rekonstruera automatiska programstarter

macOS kan automatiskt öppna program, dokument, mappar eller Server-anslutningar vid inloggning. Dessutom kan appar utföra bakgrundsuppgifter även när huvudprogrammet inte är öppet. I de senaste versionerna av macOS samlar Apple dessa funktioner under „Login Items & Extensions“ och tillhandahåller utvecklare mekanismer för inloggningsobjekt, LaunchAgents och LaunchDaemons via Service Management Framework.

Begär en icke-bindande offert

Inom kriminaltekniken kan dessa konfigurationer ge ledtrådar om vilken programvara som var avsedd för automatisk start eller bakgrundsaktivitet. De bevisar dock inte automatiskt att ett program faktiskt kördes vid en viss tidpunkt. För detta krävs ytterligare spår från körningen och systemet.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi undersöker befintliga konfigurationer för inloggningsobjekt och bakgrundsuppgifter, kopplar dem till respektive applikationer och utvecklare och kontrollerar om motsvarande programfiler fortfarande finns kvar. I nyare versioner av macOS beaktas moderna tjänstehanteringsposter och tillhörande app-bundle-strukturer.

Resultaten jämförs med LaunchServices, LaunchAgents och LaunchDaemons, information om kodsignering, Unified Logs, filmetadata och andra fallrelaterade artefakter. På så sätt går det att skilja mellan konfigurerad autostart och faktisk, verifierbar körning.

Typiska användningsområden

•Undersökning av automatisk programstart
•Analys av misstänkta bakgrundsaktiviteter
•Undersökningar av skadlig programvara och persistens
•Testning av Helper- och Updater-komponenter
•Incidenthantering på macOS
•Koppling av bakgrundstjänster till installerad programvara
•Rättsliga och utomrättsliga utlåtanden

Så här går den kriminaltekniska undersökningen till

Först registreras de konfigurationer för inloggningsobjekt och bakgrundstjänster som finns tillgängliga på den forensiska kopian. Därefter kontrolleras paket-ID:n, tjänstemärkningar, programvägar, utvecklarreferenser och befintliga körbara komponenter.

I macOS 13 och senare versioner tar vi hänsyn till den moderniserade hanteringen av inloggningsobjekt och bakgrundsuppgifter som Apple har infört. I macOS 26 och senare versioner är det dessutom viktigt att notera att användare kan bli ombedda att ge tillstånd för vissa pågående bakgrundsuppgifter efter att en app har stängts. Versionsberoende skillnader dokumenteras därför uttryckligen.

Varför är detta undersökningsområde relevant ur kriminalteknisk synvinkel?

Inloggningsobjekt och bakgrundstjänster kan förklara varför programvara aktiveras efter en inloggning eller oberoende av det synliga huvudprogrammet. Detta är lika relevant vid undersökning av persistens, oönskade program och legitima företagsagenter.

En konfiguration utgör dock inte ett säkert bevis på att programmet kan köras. För att kunna dra slutsatser om faktiska körtider eller användaråtgärder måste man ta hänsyn till ytterligare artefakter.

Vanliga frågor

Vad är inloggningsobjekt?+
Det här är element som macOS kan öppna eller starta automatiskt när en användare loggar in.
Vad betyder „Tillåt i bakgrunden“?+
På så sätt kan en app utföra vissa uppgifter även om dess huvudprogram inte är öppet.
Visar ett inloggningsobjekt att appen verkligen kördes?+
Nej. Det visar först en konfiguration för automatisk start. En konkret utföring måste anges genom ytterligare spår.
Är inloggningsposter och LaunchAgents samma sak?+
Nej. Det handlar om olika mekanismer som delvis samverkar. Apple integrerar sin hantering i moderna funktioner för tjänstehantering.

LanCologne – macOS-forensik i Köln

Behöver ni en professionell undersökning av inloggningsposter eller bakgrundstjänster i macOS? LanCologne hjälper er med att säkerhetskopiera på ett rättsligt hållbart sätt och på ett spårbart sätt rekonstruera mekanismerna för automatisk start och bakgrundsprocesser.

Kontakta oss nu