Caçando Evasão de Defesa via Timestomping

Detecte manipulação de carimbos de data/hora analisando entradas MFT do NTFS para discrepâncias entre os atributos $STANDARD_INFORMATION e $FILE_NAME.

Quando Usar

• Investigando atividade anti-forense suspeita onde um adversário pode ter alterado carimbos de data/hora de arquivos para misturar malware em diretórios legítimos
• Caça a ameaças para evasão de defesa (MITRE ATT&CK T1070.006) em sistemas Windows comprometidos
• Validando a integridade da linha do tempo durante exames forenses de imagens de disco ou aquisições ao vivo
• Triagem de arquivos suspeitos que parecem ter datas de criação mais antigas que a instalação do SO ou inconsistentes com linhas do tempo de implantação conhecidas
• Detectando ferramentas como Timestomp (Metasploit), NTimeStomp, SetMACE ou PowerShell Set-ItemProperty usadas para alterar carimbos de data/hora
• Construindo pipelines de detecção automatizada que sinalizam anomalias temporais em dados MFT para analistas de SOC

Não use como o único método de detecção; adversários avançados podem manipular os carimbos de data/hora de $STANDARD_INFORMATION e $FILE_NAME (embora este último exija acesso bruto ao disco e seja muito mais difícil). Combine com análise de USN Journal, $LogFile e ShimCache/Amcache para corroborar.

Pré-requisitos

• Arquivo $MFT bruto extraído de um sistema Windows (via FTK Imager, KAPE ou extração ao vivo)
• MFTECmd (ferramenta de Eric Zimmerman) ou analyzeMFT para análise de MFT
• Python 3.8+ com pandas para análise
• Opcional: mft biblioteca Python (pip install mft) para análise programática de MFT
• Opcional: KAPE (Kroll Artifact Parser and Extractor) para coleta automatizada de artefatos
• Timeline Explorer ou Excel para análise visual da saída MFT analisada

Fluxo de Trabalho

Passo 1: Extrair o $MFT de um Sistema ao Vivo ou Imagem de Disco

# Method 1: Using KAPE to collect MFT and related artifacts
.\kape.exe --tsource C: --tdest D:\Evidence\MFT_Collection --target !SANS_Triage

# Method 2: Using FTK Imager CLI to extract $MFT
ftkimager.exe \\.\C: D:\Evidence\mft_raw.bin --e01 --include $MFT

# Method 3: Raw copy using RawCopy (handles locked NTFS system files)
RawCopy.exe /FileNamePath:C:0 /OutputPath:D:\Evidence\ /OutputName:$MFT

# Method 4: On a mounted forensic image in Linux
sudo mount -o ro,norecovery /dev/sdb1 /mnt/evidence
sudo icat -o 2048 /dev/sdb 0 > /mnt/output/$MFT

# Method 5: Using sleuthkit to extract MFT from disk image
icat -o 2048 evidence.E01 0 > extracted_MFT

Passo 2: Analisar o MFT com MFTECmd

Use o MFTECmd de Eric Zimmerman para produzir um CSV com carimbos de data/hora de $STANDARD_INFORMATION e $FILE_NAME:

# Parse MFT to CSV with all timestamp columns
MFTECmd.exe -f "D:\Evidence\$MFT" --csv D:\Evidence\Parsed\ --csvf mft_parsed.csv

# The output CSV contains these critical columns:
# Created0x10         - $STANDARD_INFORMATION Created timestamp
# LastModified0x10    - $STANDARD_INFORMATION Modified timestamp
# LastAccess0x10      - $STANDARD_INFORMATION Accessed timestamp
# LastRecordChange0x10 - $STANDARD_INFORMATION Entry Modified timestamp
# Created0x30         - $FILE_NAME Created timestamp
# LastModified0x30    - $FILE_NAME Modified timestamp
# LastAccess0x30      - $FILE_NAME Accessed timestamp
# LastRecordChange0x30 - $FILE_NAME Entry Modified timestamp

Passo 3: Detectar Timestomping via Comparação SI vs FN

A detecção principal: os carimbos de data/hora de $STANDARD_INFORMATION são facilmente modificados por ferramentas em modo de usuário, mas os carimbos de data/hora de $FILE_NAME são atualizados apenas pelo driver NTFS (modo kernel). Quando os carimbos de data/hora SI são MAIS ANTIGOS que os carimbos de data/hora FN, o timestomping é provável:

import pandas as pd
from datetime import datetime, timedelta

def load_mft_data(csv_path):
    """Carrega a saída CSV analisada do MFTECmd."""
    df = pd.read_csv(csv_path, low_memory=False)

    # Analisa colunas de carimbo de data/hora
    timestamp_cols = [
        "Created0x10", "LastModified0x10", "LastAccess0x10", "LastRecordChange0x10",
        "Created0x30", "LastModified0x30", "LastAccess0x30", "LastRecordChange0x30"
    ]

    for col in timestamp_cols:
        if col in df.columns:
            df[col] = pd.to_datetime(df[col], errors="coerce")

    return df

def detect_timestomping(df):
    """Detecta manipulação de carimbo de data/hora comparando atributos SI e FN.

    Indicadores chave:
    1. SI Created < FN Created (carimbo de data/hora SI empurrado para trás no tempo)
    2. Carimbos de data/hora SI têm nanossegundos = 0000000 (artefato da ferramenta)
    3. SI Created < FN Entry Modified (impossível sob comportamento normal do NTFS)
    4. Grande lacuna entre carimbos de data/hora SI e FN
    """

…