IT-forensik · macOS

Forensisk analys av papperskorgen i macOS – undersöka raderade och flyttade filer

När en fil flyttas till papperskorgen tas den i det normala macOS-läget inte nödvändigtvis bort fysiskt från filsystemet. Användarspecifika papperskorgenstrukturer kan därför innehålla relevanta filer och metadata. Det är först när papperskorgen töms eller genom andra systemprocesser som förutsättningarna för en eventuell återställning förändras.

Begär en icke-bindande offert

Ur ett forensiskt perspektiv måste man noggrant skilja mellan „flyttat till papperskorgen“, „papperskorgen tömd“ och „fysiskt överskrivet respektive inte längre återställbart“. Dessa tillstånd är tekniskt sett inte likvärdiga.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi undersöker användarrelaterade och – i förekommande fall – volymrelaterade papperskorgsstrukturer med avseende på befintliga filer, kataloger och metadata. Filnamn, sökvägar, tidsstämplar och annan filsysteminformation korreleras med FSEvents, APFS-snapshots och andra aktivitetsspår.

Om papperskorgen redan har tömts kontrolleras det separat om andra forensiska källor fortfarande innehåller ledtrådar eller data som går att återställa.

Typiska användningsområden

•Undersökning av raderade dokument
•Rekonstruktion av släckningsinsatser
•Utredningar av insiderhandel och informationsläckage
•Sök efter filer som finns kvar i papperskorgen
•Korrelation med FSEvents och APFS-snapshots
•Kontroll av raderings- och ändringsperioder
•Rättsliga och utomrättsliga utlåtanden

Så här går den kriminaltekniska undersökningen till

Efter säkerhetskopieringen identifieras de relevanta papperskorgsmapparna för den undersökta användaren respektive volymkontexten. Befintliga objekt hashas, dokumenteras och analyseras utifrån deras filsystemkontext.

När papperskorgen har tömts kan inga löften om återställning ges. APFS, SSD-Trim, kryptering och användning under tiden kan ha stor inverkan på möjligheterna till återställning.

Varför är detta undersökningsområde relevant ur kriminalteknisk synvinkel?

Papperskorgen är en viktig källa när man vill undersöka vilka filer en användare hade tänkt radera eller vilka objekt som fortfarande fanns kvar innan den tömdes.

Ett objekt i papperskorgen bevisar dock inte automatiskt orsaken till raderingen eller identiteten på den person som utförde åtgärden. För att besvara dessa frågor krävs ytterligare användar- och aktivitetsdata.

Vanliga frågor

Är en fil i papperskorgen redan slutgiltigt raderad?+
I det normala förloppet är det inte nödvändigt i första hand. Den finns i papperskorgen och kan ofta fortfarande finnas kvar innan den töms.
Kan en tömd papperskorg alltid återställas?+
Nej. Framför allt APFS, SSD-Trim, kryptering och fortsatt användning kan förhindra en återställning.
Visar en fil i papperskorgen vem som har raderat den?+
Inte enbart det. Användar- och sessionskontexten måste dessutom beaktas.
Kan ögonblicksbilder vara till hjälp när det gäller raderade filer?+
Befintliga APFS- eller Time Machine-snapshots kan i vissa fall innehålla tidigare tillstånd.

LanCologne – macOS-forensik i Köln

Behöver ni en professionell undersökning av raderade filer eller papperskorgen i macOS? LanCologne hjälper er med rättsligt giltig säkerhetskopiering och tekniskt tillförlitlig återställning.

Kontakta oss nu