Marcas de tempo e fusos horários

A maioria das conclusões periciais envolve o tempo: quando um arquivo foi criado, quando um dispositivo foi conectado, o que aconteceu primeiro. As marcas de tempo parecem precisas, mas cada sistema armazena o tempo de maneira diferente, registra eventos diferentes e pode usar um relógio incorreto. Uma linha do tempo montada sem verificar essas três coisas pode colocar os fatos na ordem errada, e uma hora de diferença por causa do fuso horário basta para mudar uma conclusão. A aula 6.3 apresenta os artefatos que contêm muitas dessas marcas de tempo.

O que uma marca de tempo registra

Os sistemas de arquivos normalmente registram até quatro horários para cada arquivo, frequentemente abreviados como MACB:

O significado exato depende do sistema de arquivos e do sistema operacional. No Linux, o tradicional "ctime" significa alteração de metadados, não criação; o horário de criação é um campo separado que o ext4 registra. Os horários de acesso exigem cautela especial: o Windows pode desativar as atualizações do último acesso, e o registro dessas informações depende da versão e das configurações, de modo que um horário de acesso pode ser antigo, aproximado ou nunca atualizado.

Como os sistemas armazenam o tempo

Os computadores armazenam o tempo como uma contagem a partir de um ponto inicial fixo, chamado de época. Sistemas diferentes usam épocas e unidades diferentes.

A orientação prática tem dois pontos. Uma marca de tempo não significa nada até que seu formato seja conhecido, portanto as ferramentas devem decodificá-la corretamente. Além disso, o FAT armazena o horário local sem fuso horário, portanto o perito deve descobrir qual fuso horário estava sendo usado pelo dispositivo que a gravou.

Dois conjuntos de marcas de tempo do NTFS

Cada arquivo NTFS tem dois conjuntos de quatro marcas de tempo. O conjunto em $STANDARD_INFORMATION é o exibido pelo Windows Explorer, e os programas podem alterá-lo por meio de funções comuns do sistema; ferramentas que alteram marcas de tempo intencionalmente, conhecidas como ferramentas de timestomping, geralmente alteram esse conjunto. O conjunto em $FILE_NAME é mantido pelo próprio sistema de arquivos e é atualizado em menos situações, como quando um arquivo é criado, renomeado ou movido. Um horário de criação em $STANDARD_INFORMATION muito anterior ao horário de criação em $FILE_NAME pode ser um sinal de manipulação, mas operações normais também podem fazer os dois conjuntos divergirem. Essas diferenças são um motivo para investigar mais, não uma conclusão por si só.

Fusos horários e horário de verão

UTC (Tempo Universal Coordenado) é a referência global. O horário local é o UTC acrescido ou subtraído de uma diferença, que pode mudar durante o ano quando o horário de verão começa ou termina. O Windows registra seu fuso horário configurado no Registro, em SYSTEM\CurrentControlSet\Control\TimeZoneInformation, e outros sistemas mantêm configurações semelhantes.

• Descubra qual fuso horário estava configurado em cada dispositivo e se isso mudou ao longo do tempo.
• Saiba se cada fonte armazena UTC ou horário local e como sua ferramenta o exibe.
• Observe as transições do horário de verão: uma hora local é pulada na primavera, e uma ocorre duas vezes no outono.
• Informe os horários em UTC com a indicação da diferença, por exemplo 2026-03-14T12:47:05Z, ou no horário local com sua diferença em relação ao UTC, 2026-03-14T09:47:05-03:00.

Relógios incorretos

As marcas de tempo são tão exatas quanto o relógio que as produziu. Um computador que não se sincroniza com um servidor de horário pode apresentar um desvio de segundos ou minutos, e um relógio pode ser configurado incorretamente por engano ou de propósito. Uma boa prática é registrar, no momento da aquisição, a leitura do relógio do dispositivo junto de um horário de referência confiável e anotar a diferença, chamada de desvio do relógio. Se o relógio de um notebook estiver 4 minutos adiantado, suas marcas de tempo serão ajustadas em 4 minutos ao serem comparadas com os logs de um servidor, e o laudo explicará o ajuste. O desvio no momento da aquisição não comprova qual era o desvio meses antes, o que é outra limitação a ser declarada.

Cópia, movimentação e outras surpresas

Operações normais produzem padrões de marcas de tempo que podem induzir um perito desatento ao erro. Copiar um arquivo no Windows normalmente atribui à cópia um novo horário de criação, mantendo o horário de modificação original, de modo que a cópia parece ter sido modificada antes de ser criada. Mover um arquivo dentro do mesmo volume geralmente mantém suas marcas de tempo. Extrair arquivos de um arquivo ZIP, baixá-los ou sincronizá-los a partir da nuvem pode definir horários de maneiras que dependem do programa usado. Quando uma marca de tempo parecer impossível, a primeira hipótese deve ser uma operação comum, a ser testada antes de qualquer conclusão sobre adulteração.

Construção de uma linha do tempo

Uma linha do tempo organiza eventos de muitas fontes em uma única sequência: marcas de tempo do sistema de arquivos, entradas do Registro, logs de eventos, histórico do navegador, registros telefônicos, logs de servidores. Ferramentas gratuitas como o Plaso (log2timeline) podem extrair e combinar marcas de tempo de muitos artefatos. Para construir uma linha do tempo que resista à análise:

1. Converta todos os horários para UTC, corrigindo os desvios de relógio conhecidos.
2. Mantenha a fonte de cada evento e sua resolução junto dele, pois um horário FAT com resolução de 2 segundos e um horário ext4 com resolução de nanossegundos não têm a mesma precisão.
3. Busque corroboração: um evento registrado por duas fontes independentes é muito mais sólido do que um registrado por uma única marca de tempo.

Um exemplo resolvido

Uma empresa afirma que um arquivo confidencial foi copiado para uma unidade USB em 14 de março. As marcas de tempo NTFS do notebook estão em UTC; a unidade USB é FAT32 e armazena o horário local; o notebook estava configurado para UTC−03:00. A cópia na unidade USB mostra 09:47:04 no horário local, que corresponde a 12:47:04 UTC. Os registros do notebook referentes ao dispositivo USB e à abertura do arquivo mostram 12:47:05 UTC. A diferença de um segundo é compatível com a resolução de 2 segundos do FAT. O perito informa os eventos em UTC, explica a conversão e a resolução e trata a correspondência entre as duas fontes independentes como corroboração.

Foco no exame: Saiba ler o MACB, lembrando que os significados variam conforme o sistema de arquivos (o ctime do Linux é alteração de metadados, não criação), por que os horários de acesso não são confiáveis e quais são os principais formatos de armazenamento: NTFS FILETIME (intervalos de 100 nanossegundos desde 1601, UTC), horário local do FAT com resolução de 2 segundos, segundos Unix desde 1970. Conheça os dois conjuntos de marcas de tempo do NTFS e o que o timestomping altera. Espere cenários sobre conversão de horário local para UTC, horário de verão, desvio do relógio no momento da aquisição, padrões de cópia versus movimentação e corroboração de horários entre fontes.