QuarantineEventsV2 sichern: UAC, Aftermath, Velociraptor
So sichern Sie macOS QuarantineEventsV2 mit -wal und -journal, Quarantäne-xattrs und .LastGKReject – von Hand oder mit UAC, Aftermath und Velociraptor.
Blog
Leitfäden zur macOS-Downloadherkunft für Incident Responder: QuarantineEventsV2, Quarantäne-Flags, WhereFroms, Gatekeeper und gelöschte Zeilen.
com.apple.quarantine-Flags: das Quarantäne-xattr lesen
So dekodieren Sie einen com.apple.quarantine-Wert: Flag-Bits wie 0083 und 00c3, Hex-Zeitstempel, Agent und UUID, mit Quelle und Konfidenz je Flag.
kMDItemWhereFroms vs. Quarantäne-Attribut unter macOS
Woher stammt diese Datei auf dem Mac? kMDItemWhereFroms lesen, mit Quarantäne-Daten vergleichen und ein fehlendes Quarantäne-Attribut einordnen.
.LastGKReject: Gatekeeper-Ablehnungen als Beweismittel
Was .LastGKReject festhält, wenn Gatekeeper ein Objekt blockiert, wo die Datei liegt, wie man sie sichert und mit dem Download verknüpft.
Download-Forensik unter macOS: ein Fall Schritt für Schritt
Ein synthetischer macOS-Vorfall mit Quarantine Parser: Zeitleiste, eine gelöschte und wiederhergestellte Zeile, Gatekeeper-Ablehnung und AppleDouble auf USB.
QuarantineEventsV2: den macOS-Downloadverlauf auswerten
Was die macOS-Datenbank QuarantineEventsV2 speichert: LSQuarantineEvent-Schema, Mac Absolute Time, Typnummern, Verknüpfung per xattr-UUID und Grenzen.
Gelöschte QuarantineEventsV2-Einträge wiederherstellen
Wie gelöschte QuarantineEventsV2-Zeilen in SQLite-Freeblocks, Freelist, WAL-Frames und Journalen überleben, wie man sie sichert und was ihr Fund beweist.