Glossar
App Translocation
macOS führt eine App in Quarantäne, die von einem unerwarteten Ort gestartet wird, aus einem zufälligen schreibgeschützten Mount aus.
App Translocation betrifft Apps in Quarantäne, die von einem unerwarteten Ort aus gestartet werden. Statt an Ort und Stelle läuft die App dann aus einem zufällig benannten, schreibgeschützten Mount mit Pfaden unter /private/var/folders/.../AppTranslocation/. Taucht ein solcher Pfad in anderen Artefakten auf, deutet er auf eine App in Quarantäne hin; ihr tatsächlicher Speicherort muss anderswo ermittelt werden.
Zwei Quarantäne-Flags hängen damit zusammen: QTN_FLAG_TRANSLOCATE und QTN_FLAG_DO_NOT_TRANSLOCATE. Ihre Namen stehen in Apples Quellen libsecurity_translocate und copyfile, während die üblicherweise genannten Werte 0x0080 und 0x0100 aus Neudeklarationen Dritter stammen und nur mittelmäßig gesichert sind. Die häufigen Werte 0081 und 0183 enthalten beide das Bit 0x0080. Siehe die Flags von com.apple.quarantine erklärt.