Cómo modificar un archivo sin alterar su marca de tiempo en Linux para que los peritos forense no lo detecten

Como probablemente sepa, al trabajar con cualquier archivo en un procesador de texto, hoja de cálculo, presentación, entre otros, aparecerán marcadores de “hora de acceso” y “hora de modificación”, que indican que el archivo acaba de ser creado, modificado o editado en alguno de sus componentes.

Lo que probablemente no sepa es que es posible emplear un sencillo método para que algunos cambios realizados en un documento no queden registrados. En este tutorial, los expertos en ciberseguridad del Instituto Internacional de Seguridad Cibernética (IICS) le mostrarán cómo editar un archivo sin cambiar sus marcas de tiempo en sistemas Linux.

La marca de tiempo del archivo se puede actualizar mediante el comando touch.

Las marcas de tiempo también se actualizan cuando agregamos contenido manualmente o eliminamos datos del archivo. Si desea cambiar el contenido de los archivos sin cambiar sus marcas de tiempo, no hay una forma directa de hacerlo, aunque sí es posible.

Podemos usar la opción -r (link) de este comando para conservar las marcas de tiempo del archivo después de editarlo o modificarlo. El parámetro -r se utiliza para establecer las marcas de tiempo de un archivo con las marcas de tiempo de otro.

Usaremos un archivo de texto llamado itsecforu.txt.

Echemos un vistazo a las marcas de tiempo de este archivo usando el comando stat:

$ stat itsecforu.txt 	
  File: itsecforu.txt
  Size: 38         Blocks: 8          IO Block: 4096   regular file
Device: 801h/2049d Inode: 4351679     Links: 1
Access: (0775/-rwxrwxr-x)  Uid: ( 1000/      sk)   Gid: ( 1000/      sk)
Access: 2020-11-12 19:47:55.992788870 +0530
Modify: 2020-11-12 19:47:55.992788870 +0530
Change: 2020-11-12 19:47:55.992788870 +0530
 Birth: -

Tal como los especialistas en ciberseguridad mencionaron, si cambiamos el contenido o los metadatos de este archivo, las marcas de tiempo también cambiarán.

$ touch -r itsecforu.txt itsecforu.timestamp

Revisemos las marcas de tiempo del nuevo archivo:

$ stat itsecforu.timestamp 
  File: itsecforu.timestamp
  Size: 0          Blocks: 0          IO Block: 4096   regular empty file
Device: 801h/2049d Inode: 4328645     Links: 1
Access: (0664/-rw-rw-r--)  Uid: ( 1000/      sk)   Gid: ( 1000/      sk)
Access: 2020-11-12 19:47:55.992788870 +0530
Modify: 2020-11-12 19:47:55.992788870 +0530
Change: 2020-11-12 19:48:48.934235300 +0530
 Birth: -

¿Puede verlo? Las marcas de tiempo de ambos archivos son iguales.

Ahora realice los cambios en el archivo principal, es decir, itsecforu.txt.

Como habrás adivinado, las marcas de tiempo del archivo principal cambiarán.

Finalmente, copie las marcas de tiempo del nuevo archivo, por ejemplo itsecforu.timestamp, en el archivo principal:

$ touch -r itsecforu.timestamp itsecforu.txt

El archivo principal ahora tiene marcas de tiempo antiguas antes de ser editado/modificado.

En resumen

Cree un nuevo archivo con las mismas marcas de tiempo que el archivo principal utilizando el comando táctil, realice los cambios en el archivo principal y establezca las marcas de tiempo del nuevo archivo en el archivo principal con la opción -r.