Glossar
Quarantäne-Attribut (com.apple.quarantine)
Das erweiterte Attribut, das macOS heruntergeladenen Dateien hinzufügt, damit Gatekeeper sie beim ersten Öffnen prüft; ohne es entfällt die Prüfung.
com.apple.quarantine ist das erweiterte Attribut, das Browser, Mail-Clients und andere quarantänefähige Apps an heruntergeladene Dateien anhängen. Es hält fest, wer die Datei unter Quarantäne gestellt hat und wann; xattr -p com.apple.quarantine <file> gibt typischerweise einen Wert der Form Flags;Zeit in Hex;Agent;UUID aus, etwa mit Safari als Agent. Beim ersten Start einer App in Quarantäne prüft Gatekeeper sie und bittet den Benutzer um Bestätigung. Das Archivierungsprogramm überträgt das Attribut auf die entpackten Objekte.
Warum das für Untersuchungen wichtig ist
Wer das Attribut entfernt, etwa mit xattr -d com.apple.quarantine <file>, umgeht diese Prüfung beim ersten Start. Angreifer und manche Installer tun das, damit ein unsigniertes Tool ohne Rückfrage läuft; das Entfernen ist daher ein Ansatzpunkt, dem man nachgehen sollte.
FSEvents sieht Attributänderungen, nicht deren Namen:
- Hinzufügen oder Ändern eines beliebigen erweiterten Attributs setzt
ExtendedAttrModified; - Entfernen eines Attributs setzt
ExtendedAttrRemoved.
Ein neuer Download zeigt daher oft ExtendedAttrModified (Quarantäne- und Herkunftsattribute werden gesetzt), und ein späteres ExtendedAttrRemoved am selben Pfad bedeutet, dass ein Attribut entfernt wurde. Das kann das Quarantäne-Attribut sein oder etwas Routinemäßiges. Bestätigen Sie es anhand der Datei selbst, falls sie noch existiert, mit der Datenbank der Quarantäne-Ereignisse (com.apple.LaunchServices.QuarantineEventsV2 in Library/Preferences des Benutzers) und mit den umliegenden Datensätzen. Der FSEvents Parser meldet einen Befund, wenn Attribute in Download-, Schreibtisch-, Dokument-, Programm- und temporären Ordnern entfernt werden.
Beispiel
Im synthetischen Beispiel wird Downloads/tools/sync-helper mit Created;Modified;ExtendedAttrModified;File entpackt und zeigt danach ExtendedAttrRemoved;File, gefolgt von InodeMetaMod;File (ausführbar gemacht), zwischen 09:58:40 und 10:09:55 UTC, während Terminal läuft.
Verwandte Begriffe
Finden Sie entfernte Attribute im FSEvents Parser, und lesen Sie in FSEvents-Flags erklärt, wie die Flags zu deuten sind.