Análise aprofundada revela segredos do formato de imagem esparsa ASIF da Apple

A análise aprofundada do Apple Sparse Image Format (ASIF) para macOS Tahoe, o formato de disco virtual esparso para máquinas virtuais da Apple, é um marco para a segurança da informação e a perícia digital. Um pesquisador desvendou a arquitetura interna do ASIF, focando em como os dados são estruturados e acessados. Este trabalho envolveu a criação de um parser, engenharia reversa no binário DiskImages2 e a recuperação de cabeçalhos e metadados cruciais para a compreensão do formato.

A pesquisa revelou que o ASIF utiliza tabelas de diretório de 64 bits, combinando ponteiros de 'chunk' e bitmaps de alocação. Essa combinação impacta diretamente o mapeamento de offsets no disco virtual. Entender como o ASIF gerencia o espaço esparso, de forma conceitualmente similar a VMDK, VHDX e QCOW2, mas com sua própria lógica interna, é vital. O estudo resultou em uma implementação funcional que melhora a capacidade de análise forense e recuperação de dados em ambientes Apple. Essa visibilidade é essencial para investigar incidentes e recuperar informações de sistemas que utilizam macOS Tahoe.

Entender o ASIF é fundamental para profissionais de segurança e peritos forenses que atuam em ecossistemas Apple. A capacidade de analisar e extrair dados de imagens de disco virtuais é crítica em investigações digitais, recuperação de dados e identificação de vulnerabilidades. Com o macOS Tahoe incorporando este novo formato, a transparência sobre sua estrutura interna permite que ferramentas de segurança e forense se adaptem rapidamente, garantindo a integridade e a capacidade de investigação em novas implantações.