Question

Answer (Detailed Solution Below)

Option 3 : The $STANDARD_INFORMATION timestamps were timestomped; the $FILE_NAME creation time is the reliable indicator / $STANDARD_INFORMATION टाइमस्टैम्प टाइमस्टॉम्प किए गए थे; $FILE_NAME निर्माण समय विश्वसनीय संकेतक है

Detailed Solution

सही उत्तर The $STANDARD_INFORMATION timestamps were timestomped; the $FILE_NAME creation time is the reliable indicator / $STANDARD_INFORMATION टाइमस्टैम्प टाइमस्टॉम्प किए गए थे; $FILE_NAME निर्माण समय विश्वसनीय संकेतक है है।

Key Points

Helpful?

prepsnap.in • Part -A

Question:

A suspect's workstation shows a malicious payload whose $STANDARD_INFORMATION timestamps all read 2024-01-15, the OS install date. The $FILE_NAME creation timestamp reads 2026-09-02. Which conclusion is forensically sound? / संदिग्ध के वर्कस्टेशन पर एक दुर्भावनापूर्ण पेलोड दिखता है जिसके $STANDARD_INFORMATION टाइमस्टैम्प सभी 2024-01-15 (OS इंस्टॉल तिथि) पढ़ते हैं। $FILE_NAME निर्माण टाइमस्टैम्प 2026-09-02 पढ़ता है। कौन-सा निष्कर्ष फॉरेंसिक रूप से सही है?

The file genuinely dates from the OS install; $FILE_NAME is unreliable / फ़ाइल वास्तव में OS इंस्टॉल की है; $FILE_NAME अविश्वसनीय है

Both timestamp sets are equally trustworthy; the conflict is a parsing bug / दोनों टाइमस्टैम्प सेट समान रूप से विश्वसनीय हैं; विरोधाभास पार्सिंग बग है

The $STANDARD_INFORMATION timestamps were timestomped; the $FILE_NAME creation time is the reliable indicator / $STANDARD_INFORMATION टाइमस्टैम्प टाइमस्टॉम्प किए गए थे; $FILE_NAME निर्माण समय विश्वसनीय संकेतक है

The file was copied, not timestomped; copy operations only touch $FILE_NAME / फ़ाइल कॉपी की गई थी, टाइमस्टॉम्प नहीं; कॉपी संचालन केवल $FILE_NAME को छूते हैं

Correct Answer: The $STANDARD_INFORMATION timestamps were timestomped; the $FILE_NAME creation time is the reliable indicator / $STANDARD_INFORMATION टाइमस्टैम्प टाइमस्टॉम्प किए गए थे; $FILE_NAME निर्माण समय विश्वसनीय संकेतक है

SetFileTime-style timestomping alters only $STANDARD_INFORMATION (0x10); $FILE_NAME (0x30) is written by the file system and changes only on rename or move, so its creation stamp exposes the forgery. Option (d) inverts the mechanism — copying updates $STANDARD_INFORMATION, not $FILE_NAME. / SetFileTime-शैली टाइमस्टॉम्पिंग केवल $STANDARD_INFORMATION (0x10) बदलती है; $FILE_NAME (0x30) फ़ाइल सिस्टम द्वारा लिखा जाता है और केवल नाम बदलने या स्थानांतरित करने पर बदलता है, इसलिए इसका निर्माण स्टैम्प जालसाजी उजागर करता है। विकल्प (d) तंत्र को उल्टा करता है — कॉपी $STANDARD_INFORMATION अपडेट करती है, $FILE_NAME नहीं।

Downloaded from PrepSnap (prepsnap.in)