Glossar
AppleDouble (._-Dateien)
Die Begleitdateien ._name, die macOS auf Volumes ohne erweiterte Attribute (exFAT, FAT, SMB) anlegt, um die xattrs zu bewahren.
Kopiert macOS eine Datei auf ein Dateisystem ohne erweiterte Attribute, etwa exFAT, FAT oder eine SMB-Freigabe, schreibt es die Attribute in eine AppleDouble-Begleitdatei namens ._name neben dem Original. ZIP-Archive, die mit „Komprimieren“ im Finder erstellt wurden, enthalten dieselben Daten als Einträge __MACOSX/._name; das Velociraptor-Artefakt MacOS.Forensics.AppleDoubleZip liest sie aus.
Für die Herkunftsanalyse ist das wichtig, weil das Quarantäne-Attribut und kMDItemWhereFroms in die ._-Datei wandern. Ein auf einen exFAT-USB-Stick kopiertes Dokument kann so weiterhin zeigen, woher es heruntergeladen wurde und zu welcher Ereignis-UUID es gehört, auch wenn der Kopiervorgang selbst in den Quarantänedaten keine Spur hinterlässt. Siehe eine macOS-Download-Untersuchung Schritt für Schritt.