Дата создания файла Word

Консультации по противодействию мошенникам, вредоносным программам и другим сетевым угрозам.

Дата создания файла Word

Сообщение dvkey » 16 сен 2011, 22:19

Здравствуйте!
Ситуация: имеется файл Microsoft Word. В свойствах документа имеется дата его создания, изменения, открытия. От времени создания файла до времени фиксации даты создания файла (из свойств документа Microsoft Word) на фото при свидетелях прошло порядка месяца - в это время за компьютером практически ежедневно работали. Противоположная сторона вероятно будет утверждать, что дата файла откорректирована в моих интересах с помощью программных средств. Возможно будет назначена судебная экспертиза. Хочется понять, имеется ли принципиальная возможность установления точной даты создания файлов экспертизой, то есть, стоит ли пытаться использовать дату создания файла в качестве доказательства.
Вопросы:
1. Можно ли использовать дату создания документа из свойств документа Microsoft Word в качестве доказательства его создания именно в этот день?
2. Знаю, что имеются программные средства, позволяющие изменить дату создания файла в Word, но можно ли даже после работы этих программ по метаданным однозначно установить реальную дату создания файла или установить факт изменения/неизменения метаданных (прошло 2 месяца)?
3. Имеется ли возможность однозначно установить реальную дату создания файла по FAT и системным файлам Windows XP (прошло 2 месяца)?
4. Имеется ли возможность однозначно установить реальную дату выполнения распечатки файла (с точностью до дня) - принтер также работал в течение двух месяцев после распечатки?
dvkey
 
Сообщения: 4
Зарегистрирован: 16 сен 2011, 21:50
Благодарил (а): 0 раз.
Поблагодарили: 0 раз.

Re: Дата создания файла Word

Сообщение Igor Mikhaylov » 16 сен 2011, 22:31

Надо смотреть компьютер. Что и где застряло в данных.

Противоположная сторона вероятно будет утверждать, что дата файла откорректирована в моих интересах с помощью программных средств. Возможно будет назначена судебная экспертиза.

Думаю стоит попросить противоположную сторону продемонстрировать свои возможности по редактированию даты файла в суде. :D
Digital Evidences is the international board about digital evidences.

http://cyberforensicator.com/
Аватара пользователя
Igor Mikhaylov
 
Сообщения: 6838
Зарегистрирован: 19 ноя 2006, 10:08
Откуда: Россия
Благодарил (а): 115 раз.
Поблагодарили: 149 раз.

Re: Дата создания файла Word

Сообщение dvkey » 16 сен 2011, 22:50

Спасибо за быстрый ответ!
В интернете описаны способы изменения даты файла в свойствах документа. Да и на найм какого-нибудь хакера у меня получается было порядка месяца. Уровень владения компьютером противоположной стороной сложно предугадать - вдруг могут и изменить :). Весь вопрос стоит ли в случае тупикового развития ситуации надеяться на экспертизу? А здесь однозначного ответа без осмотра компьютера быть насколько я понял не может.
dvkey
 
Сообщения: 4
Зарегистрирован: 16 сен 2011, 21:50
Благодарил (а): 0 раз.
Поблагодарили: 0 раз.

Re: Дата создания файла Word

Сообщение Igor Mikhaylov » 16 сен 2011, 22:59

dvkey писал(а):В интернете описаны способы изменения даты файла в свойствах документа.

Именно временных меток? Дайте ссылку.
Digital Evidences is the international board about digital evidences.

http://cyberforensicator.com/
Аватара пользователя
Igor Mikhaylov
 
Сообщения: 6838
Зарегистрирован: 19 ноя 2006, 10:08
Откуда: Россия
Благодарил (а): 115 раз.
Поблагодарили: 149 раз.

Re: Дата создания файла Word

Сообщение dvkey » 16 сен 2011, 23:12

Igor Michailov писал(а):
dvkey писал(а):В интернете описаны способы изменения даты файла в свойствах документа.

Именно временных меток? Дайте ссылку.

Не поручусь, что это работает (не пробовал):
http://wordexpert.ru/page/kak-izmenit-d ... -dokumenta
Ну и чисто логический метод:
скопировать текст из файла в новый файл при установленном в нужное значение системном времени.
dvkey
 
Сообщения: 4
Зарегистрирован: 16 сен 2011, 21:50
Благодарил (а): 0 раз.
Поблагодарили: 0 раз.

Re: Дата создания файла Word

Сообщение Igor Mikhaylov » 17 сен 2011, 05:55

В статье про другое говорится.


dvkey писал(а):Ну и чисто логический метод:
скопировать текст из файла в новый файл при установленном в нужное значение системном времени.

При этом, в компьютере появится куча мест, где будет зафиксирован факт перевода часов. :wink:
Digital Evidences is the international board about digital evidences.

http://cyberforensicator.com/
Аватара пользователя
Igor Mikhaylov
 
Сообщения: 6838
Зарегистрирован: 19 ноя 2006, 10:08
Откуда: Россия
Благодарил (а): 115 раз.
Поблагодарили: 149 раз.

Re: Дата создания файла Word

Сообщение dvkey » 17 сен 2011, 20:34

Так и не нашел работающую утилиту изменения даты создания документа и вообще каких-либо автоматических метаданных ворда. :) Только на крутых хакерских сайтах отсылки к ассемблеру. Возможно плохо искал.
Кстати использование "Сохранить как..." тоже меняет дату создания документа на более позднюю.
Спасибо за консультацию. Последний вопрос взялась бы ваша организация за такую экспертизу (с вопросом какова дата создания документа Microsoft Word) и какой порядок цен?
dvkey
 
Сообщения: 4
Зарегистрирован: 16 сен 2011, 21:50
Благодарил (а): 0 раз.
Поблагодарили: 0 раз.

Re: Дата создания файла Word

Сообщение Igor Mikhaylov » 17 сен 2011, 20:44

По вопросу производства экспертизы, вам лучше обратится сюда: info@nhtcu.ru
Digital Evidences is the international board about digital evidences.

http://cyberforensicator.com/
Аватара пользователя
Igor Mikhaylov
 
Сообщения: 6838
Зарегистрирован: 19 ноя 2006, 10:08
Откуда: Россия
Благодарил (а): 115 раз.
Поблагодарили: 149 раз.

Re: Дата создания файла Word

Сообщение Davydoff » 19 сен 2011, 11:18

Igor Michailov писал(а):В статье про другое говорится.


dvkey писал(а):Ну и чисто логический метод:
скопировать текст из файла в новый файл при установленном в нужное значение системном времени.

При этом, в компьютере появится куча мест, где будет зафиксирован факт перевода часов. :wink:

П.С. а теперь скопируем этот файлик на другой компьютер где все "шито-крыто".
Davydoff
Член клуба
 
Сообщения: 252
Зарегистрирован: 13 ноя 2008, 10:29
Откуда: Западная Сибирь
Благодарил (а): 0 раз.
Поблагодарили: 0 раз.

Re: Дата создания файла Word

Сообщение Igor Mikhaylov » 19 сен 2011, 11:21

Davydoff писал(а):П.С. а теперь скопируем этот файлик на другой компьютер где все "шито-крыто".

То что файл создан не на этом компьютере - вычисляется. :wink: Тогда, это будет чистое НПВ.
Digital Evidences is the international board about digital evidences.

http://cyberforensicator.com/
Аватара пользователя
Igor Mikhaylov
 
Сообщения: 6838
Зарегистрирован: 19 ноя 2006, 10:08
Откуда: Россия
Благодарил (а): 115 раз.
Поблагодарили: 149 раз.

Re: Дата создания файла Word

Сообщение Denavsky » 19 сен 2011, 21:56

А еще можно поискать среди последних открытых файлов т если даты совпадут - дополнительный признак... Маловероятно, если с компом интенсивно работали, но попытаться стоит...
Denavsky
Член клуба
 
Сообщения: 189
Зарегистрирован: 13 янв 2009, 09:23
Откуда: ФБУ Пензенская ЛСЭ
Благодарил (а): 0 раз.
Поблагодарили: 0 раз.

Re: Дата создания файла Word

Сообщение Dec » 20 сен 2011, 08:32

dvkey писал(а):Так и не нашел работающую утилиту изменения даты создания документа и вообще каких-либо автоматических метаданных ворда. :)
Если речь идет о doc файлах в OLE2 формате, то дата меняется очень легко. Спецификации формата метаданных OLE2-файлов есть на сайте мелкомягких, поэтому сделать соответствующую утилиту можно. Раз она еще кем-либо не создана, значит подобная задача нужна очень малому количеству людей.
Dec
Член клуба
 
Сообщения: 148
Зарегистрирован: 12 дек 2008, 10:24
Благодарил (а): 0 раз.
Поблагодарили: 0 раз.

Re: Дата создания файла Word

Сообщение rwz » 10 янв 2015, 12:37

Добрый день! в связи с содержимым топика, хотелось бы получить ответ на вот какой вопрос.

Есть заключение компьютерной экспертизы, исследуется НЖМД, найдены файлы программного продукта А., согласно выводов эксперта «все подключения программного продукта А. осуществлялись в период с 9:01 до 10:15 часов»
В исследовательской части этой экспертизы указано, что «дата создания исполняемого файла программного продукта А. name.exe — 9 часов 30 минут»

можно ли предположить, что дата создания исполняемого файла (кем-то) была изменена? файловая система НЖМД - NTFS
rwz
 
Сообщения: 7
Зарегистрирован: 10 янв 2015, 12:19
Благодарил (а): 0 раз.
Поблагодарили: 0 раз.

Re: Дата создания файла Word

Сообщение Igor Mikhaylov » 10 янв 2015, 13:09

Каким способом определено время файловой системы?
Digital Evidences is the international board about digital evidences.

http://cyberforensicator.com/
Аватара пользователя
Igor Mikhaylov
 
Сообщения: 6838
Зарегистрирован: 19 ноя 2006, 10:08
Откуда: Россия
Благодарил (а): 115 раз.
Поблагодарили: 149 раз.

Re: Дата создания файла Word

Сообщение rwz » 10 янв 2015, 13:16

"При включении ноутбука без НЖМД установлено, что системное время BIOS опережает текущее московское время на 16 мин"
rwz
 
Сообщения: 7
Зарегистрирован: 10 янв 2015, 12:19
Благодарил (а): 0 раз.
Поблагодарили: 0 раз.

След.

Вернуться в Консультации

Кто сейчас на конференции

Сейчас этот форум просматривают: нет зарегистрированных пользователей и гости: 1

cron