Adquirir .fseventsd: tar, UAC, Aftermath, Velociraptor
Cómo recopilar los registros FSEvents de macOS sin perder sus fechas de modificación: un comando tar, perfiles UAC, Aftermath, Velociraptor e imágenes.
Blog
Blog
Guías de análisis forense de FSEvents en macOS: el formato .fseventsd, los flags, la temporalidad, la recolección y las investigaciones.
Investigación con FSEvents: exfiltración en un Mac
Una intrusión ficticia en macOS reconstruida solo con FSEvents: una descarga, un LaunchAgent, Acceso total al disco, una carpeta oculta, un USB y la limpieza.
Formato de archivo FSEvents: páginas 1SLD, 2SLD y 3SLD
Estructura en disco de los logs .fseventsd de macOS: archivos gzip, cabeceras de página DLS, campos por versión y cómo tratar datos truncados o dañados.
Flags de FSEvents explicados: cada bit, decodificado
Todos los bits de flags de FSEvents en disco con su valor, sus nombres en FSEventsParser y mac_apt, y cómo leer Created, Renamed, ItemCloned o EndOfTransaction.
Forense de FSEvents en macOS: qué prueba .fseventsd
Qué registra FSEvents en macOS, dónde está .fseventsd, qué puede y qué no puede probar, y cómo leerlo sin marcas de tiempo exactas.
Cómo datar registros FSEvents sin marcas de tiempo
FSEvents no guarda horas. Cómo construir ventanas temporales fiables con las mtimes de .fseventsd, fseventsd-uuid y rutas fechadas, y cuándo fallan.