Glosario
Atributo de cuarentena (com.apple.quarantine)
Atributo extendido que macOS añade a los archivos descargados para que Gatekeeper los revise al abrirlos; eliminarlo omite esa comprobación.
com.apple.quarantine es el atributo extendido que los navegadores, los clientes de correo y otras aplicaciones compatibles con la cuarentena añaden a los archivos que descargan. Registra quién puso el archivo en cuarentena y cuándo; xattr -p com.apple.quarantine <file> suele mostrar un valor con la forma flags;hora en hexadecimal;agente;UUID, por ejemplo con Safari como agente. En el primer inicio de una aplicación en cuarentena, Gatekeeper la comprueba y pide confirmación al usuario. La Utilidad de Archivo transmite el atributo a los elementos que extrae.
Por qué importa en una investigación
Eliminar el atributo, por ejemplo con xattr -d com.apple.quarantine <file>, omite esa comprobación del primer inicio. Los atacantes y algunos instaladores lo hacen para que una herramienta sin firmar se ejecute sin avisos, lo que convierte su eliminación en una pista que conviene seguir.
FSEvents ve los cambios de atributos, no sus nombres:
- añadir o modificar cualquier atributo extendido activa
ExtendedAttrModified; - eliminar uno activa
ExtendedAttrRemoved.
Por eso una descarga nueva suele mostrar ExtendedAttrModified (se fijan los atributos de cuarentena y de origen), y un ExtendedAttrRemoved posterior en la misma ruta significa que se eliminó un atributo. Puede ser el de cuarentena u otro por motivos rutinarios. Confírmelo con el propio archivo si aún existe, con la base de datos de eventos de cuarentena (com.apple.LaunchServices.QuarantineEventsV2 en Library/Preferences del usuario) y con los registros cercanos. FSEvents Parser genera un hallazgo cuando se eliminan atributos en las carpetas de descargas, escritorio, documentos, aplicaciones y temporales.
Ejemplo
En la muestra sintética, Downloads/tools/sync-helper se extrae con Created;Modified;ExtendedAttrModified;File y después muestra ExtendedAttrRemoved;File seguido de InodeMetaMod;File (se hace ejecutable), entre las 09:58:40 y las 10:09:55 UTC, mientras Terminal está abierto.
Términos relacionados
Localice los atributos eliminados en FSEvents Parser y aprenda a leer los flags en los flags de FSEvents explicados.