kMDItemWhereFroms face à l’attribut de quarantaine
D’où vient ce fichier sur Mac ? Lire kMDItemWhereFroms, le comparer aux données de quarantaine et interpréter un attribut de quarantaine absent.
Articles tagués: #dfir
.LastGKReject : les rejets Gatekeeper comme preuve
Ce que .LastGKReject enregistre quand Gatekeeper bloque un élément, où le trouver, comment le collecter et le relier au téléchargement d’origine.
Forensique des téléchargements macOS : un cas pas à pas
Une intrusion macOS synthétique analysée avec Quarantine Parser : chronologie, ligne supprimée récupérée, rejet Gatekeeper et AppleDouble sur USB.