FILETIME

FILETIME est la manière standard dont Windows stocke un instant : une valeur sur 64 bits qui compte les intervalles de 100 nanosecondes écoulés depuis le 1er janvier 1601 (UTC). Dans l'API Win32, elle prend la forme d'une structure à deux moitiés de 32 bits, dwLowDateTime et dwHighDateTime, écrites sur disque en little-endian.

L'enquêteur rencontre ce format partout. NTFS stocke ses horodatages MACB en FILETIME dans la $MFT, chaque clé du Registre porte une date de dernière écriture au même format, et des artefacts comme Prefetch, les fichiers LNK ou les journaux d'événements l'utilisent également. La valeur étant ancrée en UTC, elle ne nécessite aucune correction de fuseau horaire, contrairement aux formats en heure locale décrits dans UTC et heure locale.

Quelques points pratiques pour lire des données brutes :

• Une valeur nulle signifie généralement « non renseigné », et certains outils l'affichent comme le 01/01/1601.
• La résolution de 100 nanosecondes est un bon test de falsification : des horodatages dont la partie fractionnaire est entièrement à zéro peuvent trahir un timestomping.
• Tous les systèmes de fichiers ne conservent pas cette précision. Microsoft indique que FAT stocke les dates en heure locale avec une résolution grossière (2 secondes pour la date d'écriture), alors que NTFS les stocke en UTC.

La plupart des outils forensiques décodent ces valeurs automatiquement ; en lecture hexadécimale brute, pensez à l'ordre little-endian des octets.