Glossaire
AppleDouble (fichiers ._)
Les fichiers compagnons ._name que macOS écrit sur les volumes sans attributs étendus (exFAT, FAT, SMB) pour conserver les xattrs.
Quand macOS copie un fichier vers un système de fichiers sans attributs étendus, comme exFAT, FAT ou un partage SMB, il écrit les attributs dans un fichier compagnon AppleDouble nommé ._name, à côté de l’original. Les ZIP créés avec la commande « Compresser » du Finder contiennent les mêmes données sous forme d’entrées __MACOSX/._name ; l’artefact MacOS.Forensics.AppleDoubleZip de Velociraptor sait les lire.
C’est important pour la provenance, car l’attribut de quarantaine et kMDItemWhereFroms passent dans le fichier ._. Un document copié sur une clé USB en exFAT peut encore indiquer d’où il a été téléchargé et à quel UUID d’événement il se rattache, même si la copie elle-même ne laisse aucune trace dans les données de quarantaine. Voir une enquête de téléchargement macOS pas à pas.