Glossar
Mac Absolute Time
Sekunden seit dem 2001-01-01 00:00:00 UTC, die Epoche von LSQuarantineTimeStamp. Mit 978307200 addiert ergibt sich Unix-Zeit.
Mac Absolute Time zählt die Sekunden seit dem 2001-01-01 00:00:00 UTC. LSQuarantineTimeStamp in QuarantineEventsV2 verwendet dieses Format. Wer 978307200 addiert, erhält Unix-Zeit; genau das erledigt datetime(LSQuarantineTimeStamp + 978307200, 'unixepoch') in sqlite3.
Die Spalte ist als REAL deklariert, doch SQLite kann einen ganzzahligen REAL-Wert auf dem Datenträger als Integer ablegen, eine dokumentierte Speicheroptimierung. Ein Parser muss daher beide Kodierungen akzeptieren. Nicht zu verwechseln ist diese Epoche mit dem Zeitfeld des Quarantäne-Attributs: Dort stehen Unix-Sekunden in Hexadezimal, umzurechnen mit date -u -r $((16#66f7c2a1)). Wer beides vermischt, verschiebt eine Zeitleiste um 31 Jahre. Siehe QuarantineEventsV2-Forensik.