$STANDARD_INFORMATION et $FILE_NAME

Chaque enregistrement de fichier dans la $MFT porte deux jeux indépendants d'horodatages MACB : l'un dans l'attribut $STANDARD_INFORMATION (souvent abrégé $SI), l'autre dans chaque attribut $FILE_NAME ($FN). Tous deux utilisent le format FILETIME en UTC.

La différence tient à qui les met à jour. $SI contient les dates affichées par l'Explorateur, dir et la plupart des API, et un programme en mode utilisateur peut les réécrire avec un appel standard comme SetFileTime. Les dates $FN sont gérées par le pilote du système de fichiers et changent surtout lors de la création, du renommage ou du déplacement d'un fichier ; les applications ordinaires ne disposent d'aucune API directe pour les modifier. Un fichier peut aussi avoir plusieurs attributs $FN, par exemple un nom long et un nom court 8.3.

Cette asymétrie rend la comparaison précieuse :

• Une date de création $SI antérieure à la date de création $FN est un signe classique de timestomping.
• Des valeurs $SI dont la partie infra-seconde est nulle, alors que les valeurs $FN ont une précision complète, vont dans le même sens.
• Comme $FN reflète souvent l'arrivée d'un fichier à son emplacement actuel, il aide à dater copies et déplacements.

Ce sont des indices, pas des preuves. Des opérations légitimes, comme l'extraction d'archives ou certains installateurs, peuvent aussi fixer des dates $SI anciennes, et des outils disposant d'un accès noyau peuvent également modifier $FN. Corroborez avec le $UsnJrnl et d'autres sources.