Collecter QuarantineEventsV2 : UAC, Aftermath, Velociraptor
Collecter QuarantineEventsV2 (macOS), ses fichiers -wal et -journal, les xattr de quarantaine et .LastGKReject, à la main, avec UAC, Aftermath ou Velociraptor.
Blog
Guides de réponse à incident sur la provenance des téléchargements macOS : QuarantineEventsV2, flags de quarantaine, WhereFroms, Gatekeeper, lignes effacées.
Flags com.apple.quarantine : lire l’attribut de quarantaine
Décoder une valeur com.apple.quarantine : bits de flags comme 0083 et 00c3, horodatage hexadécimal, agent et UUID, avec source et niveau de confiance par flag.
kMDItemWhereFroms face à l’attribut de quarantaine
D’où vient ce fichier sur Mac ? Lire kMDItemWhereFroms, le comparer aux données de quarantaine et interpréter un attribut de quarantaine absent.
.LastGKReject : les rejets Gatekeeper comme preuve
Ce que .LastGKReject enregistre quand Gatekeeper bloque un élément, où le trouver, comment le collecter et le relier au téléchargement d’origine.
Forensique des téléchargements macOS : un cas pas à pas
Une intrusion macOS synthétique analysée avec Quarantine Parser : chronologie, ligne supprimée récupérée, rejet Gatekeeper et AppleDouble sur USB.
QuarantineEventsV2 : l’historique des téléchargements macOS
Ce qu’enregistre la base macOS QuarantineEventsV2 : schéma LSQuarantineEvent, temps absolu Mac, numéros de type, jointure par UUID de l’xattr et limites.
Récupérer les enregistrements QuarantineEventsV2 supprimés
Comment des lignes QuarantineEventsV2 supprimées survivent dans les freeblocks, la freelist, le WAL et les journaux SQLite, et ce que prouve leur récupération.