Collecter .fseventsd : tar, UAC, Aftermath, Velociraptor
Collecter les journaux FSEvents de macOS sans perdre leurs dates de modification : une commande tar, UAC, Aftermath, Velociraptor et images disque.
Blog
Blog
Guides d'analyse forensique FSEvents sur macOS : le format .fseventsd, les flags, la datation, la collecte et les investigations.
Investigation FSEvents : une exfiltration sur Mac pas à pas
Une intrusion macOS fictive retracée avec FSEvents seul : téléchargement, LaunchAgent, accès complet au disque, dossier caché, clé USB et nettoyage.
Format de fichier FSEvents : pages 1SLD, 2SLD et 3SLD
La structure sur disque des journaux .fseventsd de macOS : fichiers gzip, en-têtes de page DLS, champs par version et données tronquées ou corrompues.
Les flags FSEvents expliqués : chaque bit décodé
Chaque bit de flag FSEvents sur disque, sa valeur, ses noms selon FSEventsParser et mac_apt, et comment lire Created, Renamed, ItemCloned ou EndOfTransaction.
Analyse forensique FSEvents : ce que prouve .fseventsd
Ce qu'enregistre le journal FSEvents de macOS, où se trouve .fseventsd, ce qu'il prouve ou non, et comment le lire sans horodatage exact.
Dater les enregistrements FSEvents sans horodatage
Les enregistrements FSEvents n'ont pas d'heure. Construire des fenêtres fiables à partir des mtimes des journaux .fseventsd, de l'uuid et des chemins datés.