OpenCyber Academy
Graduação · Capítulo 26 · Português
Código do curso: OCA-109Capítulo 26: OCA-109-C026

Capítulo 26 — Perícia digital e análise de malware: métodos II

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 26 publicada. Mapa, exemplo, EX076.

flowchart TD
  N0["26.1 Tempos MAC"]
  N1["Laboratório — linha do tempo de arquivos com sinaliz"]
  N2["26.2 Leitura do resultado"]
  N3["26.3 Interpretação da anomalia"]
  N4["26.4 Manipulação de carimbos de tempo"]
  N5["26.5 Resolução e fusos"]
  N6["26.6 Combinação de fontes"]
  N7["26.7 Apresentação"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX076"]

Desenho lógico

flowchart LR
  N0["26.1 Tempos MAC"]
  N1["Laboratório — linha do tempo de arquivos com sinaliz"]
  N2["26.2 Leitura do resultado"]
  N3["26.3 Interpretação da anomalia"]
  N4["26.4 Manipulação de carimbos de tempo"]
  N5["26.5 Resolução e fusos"]
  N6["26.6 Combinação de fontes"]
  N7["26.7 Apresentação"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX076"]

[26.1 Tempos MAC]
    |
    v
[Laboratório — linha do tempo de arquivos com sinaliz]
    |
    v
[26.2 Leitura do resultado]
    |
    v
[26.3 Interpretação da anomalia]
    |
    v
[26.4 Manipulação de carimbos de tempo]
    |
    v
[26.5 Resolução e fusos]
    |
    v
[26.6 Combinação de fontes]
    |
    v
[26.7 Apresentação]
    |
    v
[Exemplo resolvido] --> [Exercício EX076]

Objetivos de aprendizagem

Você vai (1) montar uma linha do tempo da atividade de arquivos a partir dos tempos MAC; (2) detectar padrões de cópia e download; (3) interpretar com cautela as anomalias de carimbos de tempo; (4) combinar os tempos de arquivos com outras fontes.

26.1 Tempos MAC

Os sistemas de arquivos registram os tempos de modificação, acesso e criação (além da alteração de metadados no NTFS). Carrier (2005) descreve como cada um é atualizado. Aplicativos e cópias se comportam de modo diferente: copiar ou baixar costuma definir um novo tempo de criação, enquanto a modificação pode manter o valor da origem. A diferença entre criação e modificação é a chave do laboratório. Um arquivo baixado é criado quando chega ao disco, mas seu tempo de modificação pode vir da origem, então a modificação pode ser mais antiga que a criação. Um arquivo escrito por um processo em execução, como update.dll, costuma ter os dois tempos iguais, porque foi criado e escrito de uma vez.

Laboratório — linha do tempo de arquivos com sinalização de anomalia

"""File timeline from synthetic MAC times; flag created-after-modified."""
files = {"Q1_budget.xlsm": ("2026-02-10T09:15:10", "2026-01-28T16:02:00"),
         "update.dll":     ("2026-02-10T09:31:05", "2026-02-10T09:31:05"),
         "notes.txt":      ("2026-02-03T11:00:00", "2026-02-09T15:20:00")}
for name, (created, modified) in sorted(files.items(), key=lambda kv: kv[1][0]):
    flag = "created>modified (copied/downloaded?)" if created > modified else ""
    print(f"{created} {name:15} mod={modified} {flag}".rstrip())

Execute com python3 lab_mac.py. Saída verificada:

2026-02-03T11:00:00 notes.txt       mod=2026-02-09T15:20:00
2026-02-10T09:15:10 Q1_budget.xlsm  mod=2026-01-28T16:02:00 created>modified (copied/downloaded?)
2026-02-10T09:31:05 update.dll      mod=2026-02-10T09:31:05

26.2 Leitura do resultado

notes.txt foi criado em 3 de fevereiro e modificado em 9 de fevereiro — edição comum. Q1_budget.xlsm foi criado na ws-114 às 09:15:10 de 10 de fevereiro, mas traz um tempo de modificação de 28 de janeiro: criado depois de modificado, sinalizado como compatível com ter sido copiado ou baixado. update.dll foi criado e modificado às 09:31:05, compatível com ter sido escrito do zero por um processo. O laboratório ordena pelo tempo de criação, o que mostra a ordem em que os arquivos apareceram na ws-114. A única linha sinalizada é a da planilha; notes.txt e update.dll se comportam como esperado. Ler cada linha, inclusive as comuns, é o que dá sentido à linha sinalizada: ela se destaca contra um fundo que o perito conferiu em vez de supor.

26.3 Interpretação da anomalia

A sinalização corresponde à hipótese de que a planilha chegou como anexo de e-mail: seu tempo de modificação interno veio do sistema do remetente. Alternativas — extração de um arquivo compactado, cópia de um pendrive — produzem padrões semelhantes, então a linha do tempo é combinada com as evidências do e-mail e do navegador. As evidências do e-mail decidem entre elas: a mensagem de phishing trazia um anexo chamado Q1_budget.xlsm e foi entregue às 09:12, três minutos antes de o arquivo aparecer. Uma cópia por USB deixaria registros de conexão do dispositivo, que Leah procura e não encontra naquela manhã. A explicação do arquivo compactado exigiria um arquivo compactado nas pastas do usuário, que também está ausente.

26.4 Manipulação de carimbos de tempo

Existem ferramentas que alteram carimbos de tempo. Inconsistências entre os tempos do sistema de arquivos, os metadados internos do documento e os logs podem revelar isso. Por exemplo, os metadados internos de uma planilha registram quando ela foi salva pela última vez pelo aplicativo. Se esse horário divergir do tempo de modificação do sistema de arquivos em dias, sem uma explicação plausível de cópia, a manipulação é uma possibilidade a considerar. Logs de outros sistemas, como o horário do download no proxy, fornecem uma verificação independente que o atacante no endpoint não conseguiria alterar ou apagar com facilidade.

26.5 Resolução e fusos

O NTFS guarda os tempos em UTC com alta resolução; o FAT guarda a hora local com resolução mais grosseira. Conheça o sistema de arquivos. O FAT registra os tempos de modificação com resolução de dois segundos, então um tempo FAT de 09:31:04 pode significar 09:31:04 ou 09:31:05. Num pendrive formatado em FAT, os tempos ficam no fuso local que o computador que escreveu usava, que pode ser diferente do fuso do perito. O NTFS evita os dois problemas. Leah anota o sistema de arquivos de cada carimbo de tempo que relata. O disco de sistema da ws-114 usa NTFS, então o 09:15:10 da planilha está guardado em UTC com precisão bem menor que um segundo.

26.6 Combinação de fontes

A criação às 09:15:10 vem depois do POST das 09:14:30 e da entrega do e-mail às 09:12 — uma sequência coerente. Cada passo vem minutos depois do anterior, e cada um vem de uma fonte diferente: gateway, proxy e sistema de arquivos. Uma lacuna de horas, ou um evento fora de ordem, levaria a conferir os desvios de relógio e os tipos de carimbo de tempo. Aqui a sequência é coerente, o que apoia a explicação do phishing e torna as alternativas menos prováveis. Leah ainda mantém as alternativas nas suas notas, com as evidências que enfraqueceram cada uma, para que um revisor possa ver como a conclusão foi alcançada.

26.7 Apresentação

Uma tabela de linha do tempo: horário (UTC), fonte, artefato, evento. A coluna da fonte é essencial: o leitor precisa saber que o 09:12 veio do gateway de e-mail e o 09:15:10 do sistema de arquivos, porque a confiabilidade deles difere. Os horários aparecem em UTC, com o desvio já aplicado às entradas da ws-114, e uma nota acima da tabela diz isso. A tabela vira a espinha dorsal da narrativa do laudo, e cada linha cita seu item de evidência. As linhas da mesma fonte compartilham uma cor na versão impressa, com a fonte também nomeada no texto para leitores que não conseguem ver cores.

Exemplo resolvido

Leah escreve: "Q1_budget.xlsm foi criado na ws-114 às 09:15:10 UTC com um tempo de modificação anterior (28 de janeiro), compatível com o salvamento de um anexo; o e-mail com um anexo desse nome foi entregue às 09:12."

Caso sintético. Os horários vêm do script do laboratório.

Erros e limites

Os tempos de acesso podem estar desabilitados ou ser atualizados com atraso pelo sistema operacional; confie neles só depois de conferir as configurações.

Exercícios

Síntese

As linhas do tempo de tempos MAC revelam padrões de chegada e criação; as anomalias exigem alternativas e corroboração.

Continue estudando — capítulo 26 de 40

← Capítulo 25 (rascunho) · Índice de capítulos do curso · Capítulo 27 (rascunho) →

Respostas comentadas

EX076. Q1_budget.xlsm, porque seu tempo de criação na ws-114 é posterior ao tempo de modificação, algo típico de um arquivo copiado ou baixado.

EX077. Ele foi extraído de um arquivo compactado, ou copiado de um pendrive, e ambos podem produzir o mesmo padrão.

EX078. O sistema operacional pode não atualizá-los, ou atualizá-los só com atraso, dependendo das configurações.