Glossar
Timestomping
Gezieltes Ändern der Zeitstempel einer Datei, um zu verschleiern, wann sie erstellt oder geändert wurde – meist durch Umschreiben von $STANDARD_INFORMATION.
Timestomping ist die Anti-Forensik-Technik, Zeitstempel von Dateien so zu ändern, dass eine Datei nicht auffällt oder aus zeitbasierten Suchen herausfällt (MITRE ATT&CK T1070.006). Unter NTFS rufen Werkzeuge meist SetFileTime oder NtSetInformationFile auf, was $STANDARD_INFORMATION umschreibt; manche manipulieren $FILE_NAME zusätzlich indirekt, indem sie die Datei anschließend verschieben.
Klassische Indizien sind eine $SI-Erstellungszeit vor der $FN-Erstellungszeit und Werte auf volle Sekunden, wo NTFS normalerweise mit 100 Nanosekunden Genauigkeit speichert. Das $LogFile liefert das stärkste Indiz: das Umschreiben selbst, mit dem Wert vorher und nachher. Jedes Indiz hat harmlose Ursachen (Entpacken von Archiven, Wiederherstellungen, Tunneling), Befunde brauchen also Bestätigung. Methode in Timestomping mit dem NTFS-$LogFile erkennen.