الطوابع الزمنية الخاصة بالملف نفسه، وسجل الجدار الناري للجلسة التي يُفترض أنها أنشأته.
الملف يدّعي أنه كُتب قبل أن توجد أصلاً الاتصالية التي جلبته. أحد هذين المصدرين تم العبث فيه، والفايل سستم يحتفظ بأكثر من طابع زمني واحد لسبب معين.
ابحث عن الحقل الذي يثبت أن وقت الكتابة الظاهر تم تغييره، وقدّم اسمه كعلم: skrd{field}.
البرامج الخبيثة تعيد كتابة الطابع الزمني الذي يعرضه متصفح الملفات بشكل روتيني. لكنها نادراً ما تكلّف نفسها بتغيير الطابع الذي لا يحدّثه إلا الفايل سستم نفسه.
-- file metadata, host ws-031 ----------------------------------- path C:\Users\Public\svc-update.tmp Modified (M) 2026-02-03T09:14:02Z Accessed (A) 2026-02-03T09:14:02Z Created (B) 2026-02-03T09:14:02Z MFT changed (C) 2026-03-11T02:48:19Z -- firewall session log ------------------------------------------ 2026-03-11T02:47:55Z ws-031 -> 203.0.113.44:443 established 2026-03-11T02:48:31Z ws-031 -> 203.0.113.44:443 1.4MB out 2026-03-11T02:51:02Z ws-031 -> 203.0.113.44:443 closed
ثلاثة طوابع زمنية متطابقة إلى الثانية، وتسبق الجلسة بشهر. أما الرابع فلا يتطابق، وهو الطابع الذي لا يستطيع المهاجم ضبطه من مساحة المستخدم.