Glosario
AppleDouble (archivos ._)
Los archivos acompañantes ._name que macOS escribe en volúmenes sin atributos extendidos (exFAT, FAT, SMB) para conservar los xattrs.
Cuando macOS copia un archivo a un sistema de archivos sin atributos extendidos, como exFAT, FAT o un recurso compartido SMB, escribe los atributos en un archivo acompañante AppleDouble llamado ._name junto al original. Los ZIP creados con la opción «Comprimir» del Finder llevan los mismos datos como entradas __MACOSX/._name; el artefacto MacOS.Forensics.AppleDoubleZip de Velociraptor las lee.
Esto importa para la procedencia porque el atributo de cuarentena y kMDItemWhereFroms viajan al archivo ._. Un documento copiado a una memoria USB en exFAT puede seguir mostrando de dónde se descargó y a qué UUID de evento pertenece, aunque la copia en sí no deje rastro en los datos de cuarentena. Consulte una investigación de descargas en macOS paso a paso.