T1070.006: 时间戳篡改(Timestomp)

摘要

攻击者可能修改文件时间属性以隐藏新文件或对现有文件的更改。时间戳篡改(Timestomping)是一种修改文件时间戳(修改、访问、创建和更改时间)的技术，通常用于模仿同一文件夹中的文件，并将恶意文件与合法文件混在一起。 在 Windows 系统中，`$STANDARD_INFORMATION`(`$SI`)和 `$FILE_NAME`(`$FN`)属性都在主文件表(MFT)文件中记录时间。(Citation: Inversecos Timestomping 2022)`$SI`(日期/时间戳)向最终用户显示，包括在文件系统视图中，而 `$FN` 由内核处理。(Citation: Magnet Forensics) 修改 `$SI` 属性是最常见的时间戳篡改方法，因为它可以使用 API 调用在用户级别修改。然而，`$FN` 时间戳篡改通常需要与系统内核交互，或移动/重命名文件。(Citation: Inversecos Timestomping 2022) 攻击者修改文件时间戳，使它们在取证调查人员或文件分析工具看来不显眼。为了规避依赖于识别 `$SI` 和 `$FN` 属性之间差异的检测，攻击者还可能通过同时修改两个属性的时间来实施“双重时间戳篡改”(double timestomping)。(Citation: Double Timestomping) 在 Linux 系统和 ESXi 服务器上，威胁行为者可能尝试使用诸如 `touch -a -m -t <timestamp> <filename>`(将访问和修改时间设置为特定值)或 `touch -r <filename> <filename>`(将访问和修改时间设置为与另一文件匹配)之类的命令来执行时间戳篡改。(Citation: Inversecos Linux Timestomping)(Citation: Juniper Networks ESXi Backdoor 2022) 时间戳篡改可能与文件名 [Masquerading](https://attack.mitre.org/techniques/T1036) 一起使用，以隐藏恶意软件和工具。(Citation: WindowsIR Anti-Forensic Techniques)