TIMESTOMPING (antiforensics) – Manipulando data/hora de arquivos

Manipular data/hora de arquivos é uma técnica anti-forense comum, que pode ser executada por Pentesters os quais são profissionais especialistas em segurança ofensiva que somente testam a segurança após firmado um contrato com a empresa. Entretanto esta técnica também é utilizada por crackers, os quais por motivos não tão nobres, fazem uso da técnica para dificultar a identificação dos danos gerados por eles.

Embora não seja uma solução definitiva, já que existem outros artefatos que não são modificados, a técnica sendo utilizada, pode aumentar significativamente o tempo/custo de uma investigação.

De acordo como MITER ATT & CK, “os adversários podem modificar os atributos de hora do arquivo para ocultar novas ou alterações em arquivos existentes. Timestomping é uma técnica que modifica os carimbos de data/hora de um arquivo (os horários de modificação, acesso, criação e alteração), geralmente para imitar os arquivos que estão na mesma pasta. Isso é feito, por exemplo, em arquivos que foram modificados ou criados pelo adversário para que não pareçam visíveis aos investigadores forenses ou ferramentas de análise de arquivos. O timestomping pode ser usado junto com o nome do arquivo Masquerading para ocultar malware e ferramentas.”

consulte Mais informação