Запропонуйте схему перевірки ознак використання утиліт класу "Timestomp" для зміни часових міток у NTFS.

Question

Answer

Аналіз метафайлу $Bitmap на предмет наявності нерезидентних секторів файлу в області завантажувального запису

Answer

Порівняння першого байта імені файлу в дескрипторі папки зі значенням 0xE5 для виявлення прихованих файлів

Answer

Порівняння секунд і мілісекунд: автоматичні зміни утиліт часто обнуляють дробову частину секунд у мітках $STANDARD_INFORMATION

Answer

Перевірка прапорця стану MFT-запису в заголовку Master File Table на предмет наявності логічного значення 0x03

Crowdly