Glosario
Timestomping
Cambiar a propósito las marcas de tiempo de un archivo para ocultar cuándo se creó o modificó, normalmente reescribiendo las de $STANDARD_INFORMATION en NTFS.
El timestomping es la técnica antiforense que consiste en cambiar las marcas de tiempo de un archivo para que pase desapercibido o quede fuera de las búsquedas por fecha (MITRE ATT&CK T1070.006). En NTFS, las herramientas suelen llamar a SetFileTime o NtSetInformationFile, que reescriben $STANDARD_INFORMATION; algunas manipulan también $FILE_NAME de forma indirecta moviendo después el archivo.
Los indicios clásicos son una creación de $SI anterior a la creación de $FN y valores en segundos exactos donde NTFS suele guardar una precisión de 100 nanosegundos. $LogFile añade el más sólido: la propia reescritura, con el valor anterior y el posterior. Todos los indicios tienen causas inocentes (extracción de archivos comprimidos, restauraciones, tunnelling), así que los hallazgos necesitan corroboración. Método en detectar timestomping con el $LogFile de NTFS.