kMDItemWhereFroms vs. Quarantäne-Attribut unter macOS
Woher stammt diese Datei auf dem Mac? kMDItemWhereFroms lesen, mit Quarantäne-Daten vergleichen und ein fehlendes Quarantäne-Attribut einordnen.
Beiträge mit Tag: #dfir
.LastGKReject: Gatekeeper-Ablehnungen als Beweismittel
Was .LastGKReject festhält, wenn Gatekeeper ein Objekt blockiert, wo die Datei liegt, wie man sie sichert und mit dem Download verknüpft.
Download-Forensik unter macOS: ein Fall Schritt für Schritt
Ein synthetischer macOS-Vorfall mit Quarantine Parser: Zeitleiste, eine gelöschte und wiederhergestellte Zeile, Gatekeeper-Ablehnung und AppleDouble auf USB.