01Konum
- /private/var/mobile/Library/Biome/streams/{restricted|public}/<StreamName>/local/<file>
- /private/var/mobile/Library/Biome/streams/…/<StreamName>/remote/<remoteId>/<file>
- /private/var/db/biome/… (system equivalents)
- /private/var/mobile/Library/Biome/sync/sync.db
02Yanıtladığı sorular
- iOS 15+ cihazlarda hangi uygulama, Wi-Fi, Bluetooth, bildirim veya gezinme olayları kaydedildi?
- Her kayıt ne zaman yazıldı ve sonradan silindi olarak işaretlendi mi?
- Yeni iOS'ta boş olan knowledgeC akışlarının yerini hangi veriler alıyor?
03Biçim ve sürümler
| Biçim | Oluşturma zamanını temsil eden bir sayıyla adlandırılmış SEGB kapsayıcı dosyaları. v1: "SEGB" ile biten 56 baytlık başlık; iki zaman damgası içeren 32 baytlık kayıt başlıkları. v2: "SEGB" ile başlayan, kayıt sayısı ve oluşturma zamanı içeren 32 baytlık başlık; 16 baytlık kayıtlardan oluşan bir son bölüm (bitiş ofseti, durum 1 yazıldı / 3 silindi, zaman damgası). Yükler genellikle protobuf'tur, bazen plist katmanları içerir. |
|---|---|
| Geçerli olduğu sürümler | Biome ikili biçimi iOS 15'te ortaya çıktı, iOS 16'da değişmedi ve iOS 17'de yenilendi (SEGB v2). Akış adları sürüme göre değişir; ör. App.Install, _DKEvent.App.Install, _DKEvent.Safari.History, _DKEvent.Wifi.Connection, Device.Wireless.Bluetooth, public/Notification. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| Stream folder name | Veri türünü tanımlar; ör. _DKEvent.App.Install veya Device.Wireless.WiFi. |
| Entry state | 1 = yazıldı, 3 = silindi (v2 son bölümü). |
| Entry payload | Genellikle alanları akışa göre değişen bir protobuf iletisi. |
| sync.db | iLEAPP'in Biome eşitleme bilgisi için okuduğu Biome/sync içindeki SQLite veri tabanı. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| SEGB entry timestamp(s) | Apple Cocoa time (64-bit float, seconds since 2001-01-01 UTC) | iLEAPP'te kullanılan CCL SEGB ayrıştırıcısı tarafından Cocoa zamanı olarak çözülür. |
| v2 header creation time | Apple Cocoa time (64-bit float) | Başlıkta saklanan dosya oluşturma zamanı. |
| Payload time fields | Varies by stream | Bazı protobuf alanları kendi zamanlarını taşır; iLEAPP, App.Install yük zamanlarını 978.307.200 ekleyerek (Cocoa epoch) dönüştürür. Her akış için doğrulayın. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Akış klasör adlarını ve local/remote yapısını koruyarak tüm Biome dizin ağacını toplayın.
- Her dosyada başlık yerleşimine göre SEGB v1 veya v2 olduğunu belirleyin.
- Kayıtları durum ve zaman damgalarıyla ayrıştırın; silinmiş kayıtları ayrı tutun.
- Yükleri akış bazında çözün ve alan anlamlarını belgelenmiş araştırmalara göre doğrulayın.
- knowledgeC.db, uygulama veri tabanları ve sistem günlükleriyle ilişkilendirin.
07Yorum tuzakları
- Biome yalnız tam dosya sistemi edinimlerinde bulunur.
- Yük şemaları Apple tarafından belgelenmemiştir; belgelenmiş anlamı olmayan tam sayılar saklandığı gibi raporlanmalıdır.
- iLEAPP testlerinde tombstone klasörleri olay kaydı değil, kayıt tutma verisi içerir.
09Kaynaklar
- Understanding and decoding the newest iOS SEGB format Shai Shapira, Cellebrite (2023) · erişim 2026-10-14
- Hidden gems in Apple iOS digital forensics Johan Persson, MSAB (2024) · erişim 2026-10-14
- iLEAPP — scripts/ccl_segb/ccl_segb1.py Alexis Brignoni et al. (GitHub) · erişim 2026-10-14
- iLEAPP — scripts/ccl_segb/ccl_segb2.py Alexis Brignoni et al. (GitHub) · erişim 2026-10-14
- iLEAPP — scripts/artifacts/biomeAppinstall.py Alexis Brignoni et al. (GitHub) · erişim 2026-10-14
- iLEAPP — scripts/ilapfuncs.py Alexis Brignoni et al. (GitHub) · erişim 2026-10-14
- CFAbsoluteTime Apple Developer Documentation · erişim 2026-10-14