Artefakt
$MFT (Master File Table)
Huvudfiltabellen i NTFS som lagrar metadata, tidsstämplar ($SI/$FN) och klusterallokering för alla filer och mappar.
🔬 Forensisk Betydelse & Utredningsmetodik
Kritisk artefakt för tidslinjeanalys och detektion av 'timestomping' genom att jämföra $SI- och $FN-tidsstämplar samt återfinna raderade filposter.
🛠️ Praktiska Triage- & Analyskommandon (Cheat Sheet)
⚡ Extrahera och parsa $MFT till CSV med MFTECmd
MFTECmd.exe -f "C:\$MFT" --csv "C:\Forensic_Triage\MFT_Analysis" --csvf mft_parsed.csv
Konverterar alla 1024-byte MFT-poster inklusive $STANDARD_INFORMATION och $FILE_NAME tidsstämplar till en strukturerad CSV-fil för anomalidetektion.
⚡ Parsa $MFT med Python AnalyzeMFT
analyzemft -f /mnt/evidence/\$MFT -o /tmp/mft_timeline.csv -b /tmp/bodyfile.txt
Skapar en tidslinjekompatibel bodyfile för mactime och SleuthKit-analys.
⚙️ Tekniska Parametrar & Verktygsstöd
- Filsystemsplacering (på undersökt media):
\$MFT (Rotkatalog på undersökt NTFS-volym) - Forensiska verktyg:
📊 NTFS $MFT Record Structure (1024 Bytes)
+--------------------------------------------------------------+ | Header (MAGIC: 'FILE', Offset to update seq, Record #) | +--------------------------------------------------------------+ | Attribute: $STANDARD_INFORMATION (MACB Timestamps, Flags) | +--------------------------------------------------------------+ | Attribute: $FILE_NAME (Namespace, Parent Directory, MACB) | +--------------------------------------------------------------+ | Attribute: $DATA (Resident payload OR Non-resident Extents) | +--------------------------------------------------------------+
🔍 Förekomst i Forensix Intelligence & Fallstudier
📰 ShinyHunters tar över Clops läckagesajt på Tor och hotar utpressa ransomware-ligan
📰 Critical Vulnerabilities in VLC Media Player Expose Systems to Memory Corruption and Data Leaks
📰 Forensix Dagsbriefing: 2026-09-10 — Samlad Lägesbild & Teknisk Analys
📰 China-Linked Hackers Exploit Chrome and Windows Zero-Days in BlueMoon Attacks
📰 Forensix Dagsbriefing: 2026-09-09 — Samlad Lägesbild & Teknisk Analys