Glossar
$STANDARD_INFORMATION ($SI)
Das NTFS-Attribut (Typ 0x10) mit den Hauptzeitstempeln, Flags, Sicherheits- und USN-Feldern einer Datei – die Werte, die Timestomping-Tools meist umschreiben.
$STANDARD_INFORMATION ($SI, Attributtyp 0x10) ist normalerweise das erste Attribut jedes FILE-Records. Es enthält vier FILETIME-Zeitstempel – Erstellung, Änderung, Änderung des MFT-Eintrags, letzter Zugriff – plus Dateiattribut-Flags und ab NTFS 3.x Felder für Besitzer, Sicherheit und Update Sequence Number.
Das sind die Zeiten, die der Explorer anzeigt und die Anwendungen mit SetFileTime ändern können – deshalb zielt Timestomping auf sie. Im $LogFile erscheinen Änderungen an $SI als UpdateResidentValue-Einträge mit den alten Werten in den Undo-Bytes und den neuen in den Redo-Bytes. Vergleichen Sie mit $FILE_NAME und lesen Sie Timestomping mit dem NTFS-$LogFile erkennen.