FSEvents Parser — Blog https://www.fseventsparser.com/fr/blog Latest from Blog fr Wed, 30 Sep 2026 00:50:48 GMT Collecter .fseventsd : tar, UAC, Aftermath, Velociraptor https://www.fseventsparser.com/fr/blog/collect-fseventsd-tar-uac-velociraptor https://www.fseventsparser.com/fr/blog/collect-fseventsd-tar-uac-velociraptor Collecter les journaux FSEvents de macOS sans perdre leurs dates de modification : une commande tar, UAC, Aftermath, Velociraptor et images disque. Florian Amette Wed, 30 Sep 2026 00:00:00 GMT Investigation FSEvents : une exfiltration sur Mac pas à pas https://www.fseventsparser.com/fr/blog/fsevents-exfiltration-walkthrough https://www.fseventsparser.com/fr/blog/fsevents-exfiltration-walkthrough Une intrusion macOS fictive retracée avec FSEvents seul : téléchargement, LaunchAgent, accès complet au disque, dossier caché, clé USB et nettoyage. Florian Amette Wed, 30 Sep 2026 00:00:00 GMT Format de fichier FSEvents : pages 1SLD, 2SLD et 3SLD https://www.fseventsparser.com/fr/blog/fsevents-file-format-1sld-2sld-3sld https://www.fseventsparser.com/fr/blog/fsevents-file-format-1sld-2sld-3sld La structure sur disque des journaux .fseventsd de macOS : fichiers gzip, en-têtes de page DLS, champs par version et données tronquées ou corrompues. Florian Amette Wed, 30 Sep 2026 00:00:00 GMT Les flags FSEvents expliqués : chaque bit décodé https://www.fseventsparser.com/fr/blog/fsevents-flags-explained https://www.fseventsparser.com/fr/blog/fsevents-flags-explained Chaque bit de flag FSEvents sur disque, sa valeur, ses noms selon FSEventsParser et mac_apt, et comment lire Created, Renamed, ItemCloned ou EndOfTransaction. Florian Amette Wed, 30 Sep 2026 00:00:00 GMT Analyse forensique FSEvents : ce que prouve .fseventsd https://www.fseventsparser.com/fr/blog/fsevents-forensics-guide https://www.fseventsparser.com/fr/blog/fsevents-forensics-guide Ce qu'enregistre le journal FSEvents de macOS, où se trouve .fseventsd, ce qu'il prouve ou non, et comment le lire sans horodatage exact. Florian Amette Wed, 30 Sep 2026 00:00:00 GMT Dater les enregistrements FSEvents sans horodatage https://www.fseventsparser.com/fr/blog/fsevents-timestamps-time-windows https://www.fseventsparser.com/fr/blog/fsevents-timestamps-time-windows Les enregistrements FSEvents n'ont pas d'heure. Construire des fenêtres fiables à partir des mtimes des journaux .fseventsd, de l'uuid et des chemins datés. Florian Amette Wed, 30 Sep 2026 00:00:00 GMT