kMDItemWhereFroms frente al atributo de cuarentena
¿De dónde vino este archivo en un Mac? Lea kMDItemWhereFroms, compárelo con los datos de cuarentena e interprete un atributo de cuarentena ausente.
Artículos etiquetados: #dfir
.LastGKReject: rechazos de Gatekeeper como evidencia
Qué registra .LastGKReject cuando Gatekeeper bloquea un elemento, dónde está, cómo recopilarlo y cómo vincular el rechazo con una descarga.
Forense de descargas en macOS: un caso paso a paso
Una intrusión sintética en macOS analizada con Quarantine Parser: cronología, fila borrada recuperada, rechazo de Gatekeeper y AppleDouble en USB.