macOS Memory Dumping
WhiteIntel ist eine von Dark Web angetriebene Suchmaschine, die kostenlose Funktionen bietet, um zu überprüfen, ob ein Unternehmen oder seine Kunden von Stealer-Malware kompromittiert wurden.
Das Hauptziel von WhiteIntel ist es, Kontoübernahmen und Ransomware-Angriffe zu bekämpfen, die aus informationsstehlender Malware resultieren.
Sie können ihre Website besuchen und ihren Dienst kostenlos ausprobieren unter:
Speicherartefakte
Auslagerungsdateien
Auslagerungsdateien wie /private/var/vm/swapfile0 dienen als Zwischenspeicher, wenn der physische Speicher voll ist. Wenn im physischen Speicher kein Platz mehr ist, werden die Daten in eine Auslagerungsdatei übertragen und bei Bedarf wieder in den physischen Speicher zurückgebracht. Es können mehrere Auslagerungsdateien vorhanden sein, mit Namen wie swapfile0, swapfile1 usw.
Ruhezustandsabbild
Die Datei /private/var/vm/sleepimage, die sich im Ruhezustand befindet, ist entscheidend. Daten aus dem Speicher werden in dieser Datei gespeichert, wenn macOS in den Ruhezustand versetzt wird. Beim Aufwecken des Computers ruft das System die Speicherdaten aus dieser Datei ab, sodass der Benutzer dort weitermachen kann, wo er aufgehört hat.
Es ist erwähnenswert, dass diese Datei auf modernen MacOS-Systemen aus Sicherheitsgründen in der Regel verschlüsselt ist, was die Wiederherstellung erschwert.
Um zu überprüfen, ob die Verschlüsselung für das sleepimage aktiviert ist, kann der Befehl
sysctl vm.swapusageausgeführt werden. Dies zeigt an, ob die Datei verschlüsselt ist.
Speicherdruckprotokolle
Eine weitere wichtige speicherbezogene Datei in MacOS-Systemen sind die Speicherdruckprotokolle. Diese Protokolle befinden sich in /var/log und enthalten detaillierte Informationen zur Speichernutzung des Systems und zu Druckereignissen. Sie können besonders nützlich sein, um speicherbezogene Probleme zu diagnostizieren oder zu verstehen, wie das System den Speicher im Laufe der Zeit verwaltet.
Speicherauszug mit osxpmem
Um den Speicher in einem MacOS-Gerät auszulesen, können Sie osxpmem verwenden.
Hinweis: Die folgenden Anweisungen funktionieren nur für Macs mit Intel-Architektur. Dieses Tool ist jetzt archiviert und die letzte Version stammt aus dem Jahr 2017. Die mit den folgenden Anweisungen heruntergeladene Binärdatei zielt auf Intel-Chips ab, da Apple Silicon im Jahr 2017 noch nicht existierte. Es ist möglicherweise möglich, die Binärdatei für die arm64-Architektur zu kompilieren, aber Sie müssen es selbst versuchen.
Wenn Sie diesen Fehler finden: osxpmem.app/MacPmem.kext konnte nicht geladen werden - (libkern/kext) Authentifizierungsfehler (Dateibesitz/Berechtigungen); überprüfen Sie die System-/Kernelprotokolle auf Fehler oder versuchen Sie es mit kextutil(8) Sie können es beheben, indem Sie:
Andere Fehler können behoben werden, indem das Laden des kext in "Sicherheit & Datenschutz --> Allgemein" erlaubt wird, einfach erlauben.
Sie können auch diesen Oneliner verwenden, um die Anwendung herunterzuladen, den kext zu laden und den Speicher zu dumpen:
WhiteIntel ist eine von Dark Web angetriebene Suchmaschine, die kostenlose Funktionen bietet, um zu überprüfen, ob ein Unternehmen oder seine Kunden von Stealer-Malware kompromittiert wurden.
Das Hauptziel von WhiteIntel ist es, Kontoübernahmen und Ransomware-Angriffe aufgrund von informationsstehlender Malware zu bekämpfen.
Sie können ihre Website besuchen und ihre Suchmaschine kostenlos ausprobieren unter:
Last updated
