Glossaire
Timestomping
Une technique anti-forensique qui modifie les horodatages d'un fichier pour masquer sa date de création, de modification ou d'accès.
Le timestomping est une technique anti-forensique par laquelle un attaquant modifie délibérément les horodatages d'un fichier pour déguiser son véritable historique — par exemple en antidatant un outil malveillant afin qu'il se fonde parmi les fichiers système légitimes. L'objectif est de fausser ou de tromper l'analyse chronologique.
La plupart des outils de timestomping ne réécrivent que les dates de l'attribut $STANDARD_INFORMATION, car c'est ce que les API Windows exposent. L'attribut $FILE_NAME, normalement mis à jour uniquement par le noyau, reste intact. L'analyste détecte donc la falsification en comparant $STANDARD_INFORMATION à $FILE_NAME : une date de création plus ancienne dans $STANDARD_INFORMATION que dans $FILE_NAME constitue un signal d'alerte fort.
Un second indice est la précision infra-seconde : les vrais horodatages NTFS ont une granularité de 100 nanosecondes, mais de nombreux outils fixent des dates tronquées à la seconde entière, laissant la partie fractionnaire à zéro.
Voir aussi MACB Timestamps.
Artefacts concernés
- $LogFile (journal de transactions NTFS)Fiche $LogFile : journal des métadonnées NTFS (enregistrement MFT 2), 64 Mo par défaut, opérations redo/undo, zone de redémarrage, rétention courte.
- Attributs d'index $I30Fiche $I30 : index de dossiers NTFS ($INDEX_ROOT, $INDEX_ALLOCATION), enregistrements INDX, horodatages, entrées de slack de fichiers supprimés.
- Fichiers PE (exécutables Windows)Fiche de tri des fichiers PE : hash, imphash et en-tête Rich, limites de la date de compilation, sections et entropie, informations de version, signatures, PDB.
- Journal d'événements SysmonFiche Sysmon : emplacement du journal Operational, ID d'événements clés, corrélation ProcessGuid et hash, config dans le registre, altérations et outils.
- Journal USN ($UsnJrnl:$J)Fiche journal USN : $UsnJrnl:$J et $Max, champs, indicateurs Reason, référence parent, taille par défaut, rotation, fsutil et analyse avec MFTECmd.
- ShimCache (AppCompatCache)Fiche ShimCache (AppCompatCache) : emplacement dans SYSTEM, nombre d'entrées par version, ordre, sens de l'horodatage et limites comme preuve d'exécution.
- Table de fichiers maîtres ($MFT)Fiche $MFT : enregistrements FILE, horodatages $SI et $FN, données résidentes, entrées supprimées, numéros de séquence, timestomping et MFTECmd.