Glossaire
Timestomping
Modifier délibérément les horodatages d'un fichier pour masquer sa création ou sa modification, en général en réécrivant les dates $STANDARD_INFORMATION.
Le timestomping est une technique anti-forensique qui consiste à modifier les horodatages d'un fichier pour qu'il se fonde dans le décor ou échappe aux recherches par date (MITRE ATT&CK T1070.006). Sous NTFS, les outils appellent en général SetFileTime ou NtSetInformationFile, ce qui réécrit $STANDARD_INFORMATION ; certains manipulent aussi $FILE_NAME indirectement en déplaçant le fichier ensuite.
Les indices classiques sont une création $SI antérieure à la création $FN et des valeurs à la seconde pile là où NTFS stocke normalement une précision de 100 nanosecondes. Le $LogFile ajoute le plus fort de tous : la réécriture elle-même, avec la valeur avant et après. Chaque indice a des causes innocentes (extraction d'archive, restauration, tunnelling), donc les constats doivent être corroborés. Méthode dans Détecter le timestomping avec le $LogFile.