Marcas de tiempo y manipulación

Un fichero no guarda «la fecha»: guarda varias marcas distintas —cuándo se creó, cuándo se modificó su contenido, cuándo se accedió, cuándo cambió su registro en el sistema de ficheros—. Cada una cuenta algo diferente, y juntas sitúan el fichero en la cronología con mucha más precisión que una sola fecha. En una línea de tiempo forense, saber qué marca significa qué evita leer mal la secuencia: la fecha de modificación de un fichero y la de su creación responden a preguntas distintas, y confundirlas descoloca el relato.

El primer paso para leer bien el tiempo es dejar de pensar en «la fecha del fichero» y empezar a pensar en qué marca concreta responde a la pregunta que te estás haciendo.

Un atacante puede cambiar a mano las marcas de su implante para que parezca instalado hace años y no destaque en la línea de tiempo —poner la fecha de creación en un día redondo, muy anterior al incidente—. Pero el sistema de ficheros guarda esas marcas en dos lugares: unas que las herramientas corrientes dejan modificar, y otras en el registro interno del propio sistema de ficheros, que son mucho más difíciles de tocar. El atacante suele alterar solo las primeras. Resultado: las dos fuentes, que deberían coincidir, discrepan —una dice «2019» y la otra, la del registro interno, conserva la hora real del incidente—.

Falsear el tiempo es posible, pero es difícil hacerlo en los dos sitios a la vez. La mentira se nota porque la verdad quedó guardada en la fuente que el atacante no alcanzó.

Hay dos señales que delatan una marca manipulada. La primera es la discrepancia entre las dos fuentes de tiempo del sistema de ficheros: si la fecha editable dice una cosa y el registro interno dice otra, una de las dos se tocó. La segunda son los números redondos: un fichero real se crea en un instante cualquiera —02:13:40—, no a las 00:00:00 en punto de un día entero; una fecha demasiado limpia es la huella de alguien que la escribió a mano en lugar de dejarla al sistema. Cualquiera de las dos, y más las dos juntas, dicen que la hora «vieja» es falsa y que la buena está en la otra fuente.

No se descarta un fichero por parecer antiguo: se comprueba si su antigüedad es coherente en las dos fuentes. La que el atacante no pudo tocar es la que manda.

Abre el laboratorio de las marcas de tiempo. Tienes la tabla con las dos fuentes de tiempo de un fichero del caso y la lectura del analista. Una fuente lo data en un año anterior, en números redondos; la otra, el registro interno, conserva la hora real del incidente. La anotación que explica esa discrepancia lleva el código de la sala.