Digital Forensics:Timestamp Decoder

Mobile Forensics Lab I

Mobile Phone Forensics

What is Timestamp Decoder?

Timestamp Decoder  is a FREE forensic utility for converting data found on desktop and mobile devices into human-readable timestamps. It is the most comprehensive tool available for decoding timestamps.

To open this case in the software, an investigator would launch Autopsy, click Open Case, and select this Drug_Dealer.aut file.

The Target Evidence: You can see that the  archive (J8AXB7647798GRJ-20210421_0920.tar), which was added as a Logical File data source in your earlier steps, is successfully reloaded and mapped under the LogicalFileSet1 host directory.

Step 1: Navigating the File System (Data Sourcing)

Path: com.android.providers.calendar -> databases

This directory contains the database files responsible for storing the device's native calendar data.

Step 2: Selecting the Target Database

In the top-center Listing panel, the database file has been selected:

• File Name: calendar.db

• File Path: The full path at the top reveals it originates from the ingested logical file extraction: /LogicalFileSet1/Image/J8AXB7647798GRJ-20210421_0920.tar/data/data/com.android.providers.calendar/databases

Step 3: Utilizing the Built-In SQLite Viewer

Instead of viewing raw data, the investigator clicked the Application tab in the lower content viewer pane.

• Autopsy automatically recognizes that calendar.db is an SQLite database.

Step 4: Analyzing the Target Evidence Row

The investigator has highlighted Row 36, which contains highly relevant data for the case:

• title: The entry is named "Pizza delivery". (In drug investigations, this is often a code word used for a transaction/drop-off).

• eventLocation: Autopsy extracts GPS coordinates directly from this field: 33.529455426023574, -112.0847381568517. This allows investigators to pinpoint exactly where the meeting was planned to take place on a map.

• dtstart / dtend: These columns contain the Unix Epoch Timestamps (1618039800000)

To convert the Unix timestamp identified in your forensic evidence, follow these step-by-step

Option 1: Using DCode (Forensic Tool)

DCode is a specialized tool for investigators to handle multiple timestamp formats.

1. Select Format: In the Decode Format dropdown, select Unix: Numeric Value.

2. Set Time Zone: Ensure Add Bias is set to UTC 00:00 for a standard forensic report.

3. Input Value: Type or paste 1618039800000 into the Value to Decode field.

4. Execute: Click the Decode button.

5. Result: The Date & Time field will display Sat, 10 April 2021 07:30:00 UTC.

 

Option 2: Using EpochConverter (Online)

1. Input: Enter 1618039800000 into the main conversion box.

2. Convert: Click Timestamp to readable date.

3. Check Precision: The tool will automatically assume the timestamp is in milliseconds because it is 13 digits long.

4. Result: It will show the date as Saturday, April 10, 2021 at 7:30:00 AM GMT.

Option 3: Using CyberChef (Advanced Web Tool)  https[:]//gchq.github[.]io/CyberChef

1. Select Category: Click on Date / Time in the left-hand operations pane.

2. Choose Recipe: Drag From UNIX Timestamp into the Recipe column.

3. Configure Units: In the recipe options, change the Units dropdown to Milliseconds (ms).

4. Input Data: Paste 1618039800000 into the Input box on the top right.

5. Result: The converted time, Sat 10 April 2021 07:30:00.000 UTC, will appear instantly in the Output box.

อ่านเพิ่มเติม:

• Lab : practical exercise to map GPS coordinates extracted
• Convert Chrome/WebKit timestamps to human-readable date
• SQLite Forensics with OSForensic
• UTC 
• Timestamp

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น ช่วยเตือนความจำ

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Convert Chrome/WebKit timestamps to human-readable date

Convert Chrome/WebKit timestamps to human-readable date

The WebKit Precision Time or High-Resolution Time timestamp format is used by Google Chrome (Chromium) in its base::Time class.

The values in  screenshot (e.g., 13257408048478972) are Chrome Webkit Timestamps. This format represents the number of microseconds elapsed since January 1, 1601 (UTC).

To convert this to a human-readable UTC format, you can use the following methods:

Google Chrome stores forensic artifacts primarily within the user profile directory, often in a Default or Profile * folder. Key locations include History (SQLite), Cookies, Cache, Bookmarks, and Session data. On Windows, this is typically C:\Users\<user>\AppData\Local\Google\Chrome\User Data\Default

Step 1: Locating the Source Files 

The investigation starts by navigating to the user's browser profile directory. In Chromium-based browsers, this is usually found in the "Default" folder.

Forensic Value: This folder contains the raw SQLite databases that store everything from history and cookies to saved logins.

Key SQLite Artifacts & Forensic Value

Step 2: Identifying the Artifact Tables  

Once the investigator has the files, they need to know which database and table to query for specific evidence.

• History Database: Uses tables like urls (for links) and visits (for timestamps).

Step 3: Extracting Raw Data  

Using a database viewer (like DB Browser for SQLite), the investigator opens the History file and views the urls table.

• The Problem: The last_visit_time column contains long, 17-digit numbers (e.g., 13257408048478972).

  
  
  

Step 4: Decoding the Timestamp  

The investigator uses a conversion tool (like epochconverter.com) or a SQL formula to translate the raw number into a recognizable date.

• Input: The raw 17-digit timestamp is entered into the converter.

  

• Output: The tool reveals the precise UTC/GMT time. In your example:

  • Timestamp: 13257408048478972

  • Result: Wednesday, February 10, 2021 at 5:20:48 AM UTC.

www[.]online-python[.]com

Specialized tools like ChromeHistoryView simplify the process by automatically parsing the raw SQLite database into a readable format.

1. Automating the Connection

Instead of manually opening the History SQLite file, this tool reads the file directly from the browser's profile path. It maps the columns from multiple internal tables into a single consolidated view.

2. Focus on the visits Table

While the urls table contains the website addresses, the visits table is the "engine" of the timeline. It contains the crucial forensic data shown in your screenshot:

• visit_time: The tool automatically converts the 17-digit Webkit timestamp into the "Visited On" column (e.g., 2/10/2021 5:20:48 AM).

  

ChromeHistoryView

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics:SQLite Forensics with OSForensic

SQLite Database Browser

The SQLite Database (DB) Browser module allows the user to analyze the contents of SQLite database files. This module provides the ability to perform a deeper inspection of the contents and the ability to open BLOBs (binary data) with the Internal Viewer.

OSForensics™ 

includes an SQLite database viewer for databases stored in the SQLite file format. The SQLite database format is used by several platforms, such as the iPhone, Firefox and Chrome.

Step 1. SQLite Sample Database

 

Step 2.Click Other Devices available.. 

Step 3. Open  Sample Database (msgstore.db)

Step 4. Open  database ( msgstore.db) and find a message “Greetings, Tom”. When was this message received?

Step 5. Search Table

Step 6. Copy message received (1669655413313)

Step 7.  Unix Timestamp Conversion Tools

 Step 8. This answer is correct  11/28/2022 5:10:13 PM

Step 9. A few messages have been revoked from the same database (msgstore.db). When did it happen? Select all timestamps (UTC time) which apply. 

Hint: check the table “message_revoked” and use column conversion

Step 8.  Unix Timestamp Conversion Tools

Step 11. This answer is correct 

        8/26/2022 9:31:28 AM

        8/30/2022 2:39:00 PM

Analyze the contents of SQLite Database Files with OSForensics

Refer:SQLite Database Browser

อ่านเพิ่มเติม:  Timestamp

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud

Digital Forensics: How to View Timestamps in Mac OS

Digital Forensics: How to View Timestamps in Mac OS

MAC times

MAC times are a form of metadata that record when files were created, modified and accessed and are named as follows:

•     Created time: ctime
•     Modification time: mtime
•     Access time: atime

You should be aware that the MAC times differ by file system and operating system and this can impact a forensic investigation when creation times are required for analysis from Windows and UNIX machines.

 The three timestamps are:

• Access time (atime) - the last time the file was read
• Modify time (mtime) - the last time the file contents were changed
• Change time (ctime) - the last time the file permissions were changed

Digital Forensics Examiner

 stat -x filename

Stat -x filename

Download  MAC Times, Mac Times, and More - SANS Digital Forensics & Incident Response Summit 2017

MAC Times ,Mac TImes

MacOS HFS+ TIme Stamps

HFS+FILE Summary

 

UNIX and Windows variations on MAC time

Traditional UNIX systems differ from Windows systems in their use of ctime. Windows systems record the time and date when the file was created as the ctime, but UNIX systems do not record the creation date and time. Instead, they use ctime as the time the file status last changed. UNIX systems function this way because creation time is not a requirement in POSIX. Macintosh systems that are based on UNIX have implemented a birth time (btime) in their HFS file system. Later file systems including EXT4, Btrfs and JFS store the creation time.

ที่มา:
https://bit.ly/2NlsAxC
https://bit.ly/2YNLCBp

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics:Timestamp II

Digital Forensics:Timestamp II

    คำถามที่พบบ่อยของพนักงานสอบสวนเกี่ยวกับ Created / Modified / Accessed

1. ศัพท์ภาษาอังกฤษในโปรแกรมคอมพิวเตอร์ Created / Modified นั้นหมายความว่าอย่างไรบ้าง และเป็นไปได้หรือไม่ว่า  Create จะเกิดขึ้นหลังจากที่ได้ทำการ  Modified หรือ Accessed แล้ว และหากเกิดขึ้นได้ จะเกิดขึ้นได้ในกรณีใดบ้าง

 ตอบ : ศัพท์ภาษาอังกฤษในโปรแกรมคอมพิวเตอร์ Created / Modified

    Created – เป็นวันและเวลาที่ไฟล์ถูกสร้างหรือปรากฎเป็นครั้งแรกในระบบ เมื่อไฟล์นี้ถูก copy ไปยังที่อื่น ค่าของ Created จะถูกเปลี่ยนเป็นค่าใหม่    แต่ถ้าไฟล์นี้ถูกย้าย(move)ไปที่อื่น ค่าของ Created จะยังคงเหมือนเดิม

    Modified – เป็นวันและเวลาล่าสุดที่ไฟล์ถูกเปลี่ยนแปลง,แก้ไข  เมื่อไฟล์นี้ถูก copy ไปยังที่อื่น ค่าของ Modified จะยังคงเหมือนเดิม

    Accessed – เป็นวันและเวลาล่าสุดที่ไฟล์ถูกเข้าถึง มีข้อระวังเรื่องจากค่าของ Last Accessed อาจจะเป็นวันและเวลาที่ไฟล์นั้น

ถูกเข้าถึงโดยผู้ใช้งานหรือโดยการทำงานของระบบ หรือบางระบบค่านี้อาจไม่ได้เปิดทำงาน

 เมื่อมีไฟล์ถูกสร้างเป็นครั้งแรกในระบบคอมพิวเตอร์  ค่าวันเวลา Created / Modified /Accessed  จะเท่ากันเสมอ

Windows Time Rules

MAC(b) times in Windows forensic analysis

   ตอบ : เป็นไปได้ที่ วันเวลา Create จะเกิดขึ้นหลังจากที่ได้ทำการ  Modified หรือ Accessed ในกรณีดังต่อไปนี้

   1.1 ผู้ใช้ทำการ ก๊อปปี้ ไฟล์งานนี้ถูกสร้าง  (Created / Modified ) มาก่อน ตั้งแต่วันที่ 09 October 2018 แล้วจากอุปกรณ์ จำพวก ยูเอสบีแฟลชไดรฟ์ (USB flash drive) หรือสื่อบันทึกข้อมูลอิเล็กทรอนิกส์แบบพกพา (external drive ) และทำการบันทึก(save)ไฟล์ดังกล่าวลงในเครื่อง คอมพิวเตอร์ดังกล่าว   วันที่ 15 April  2019   ซึ่งไฟล์งานนี้จะถูกใส่เวลาสร้าง (Create)เป็นวันที่ 15 April  2019 และ  ค่าวันเวลา เปลี่ยนแปลง ,แก้ไข (Modified) คือ วันที่ 09 October 2018  เหมือนไฟล์เดิม

(Modified) 09 October 2018 Test on win 7 pro

   1.2 ผู้ใช้ทำการดาว์โหลดไฟล์งานดังกล่าวมาจากอีเมล และบันทึก(save)ไฟล์งานดังกล่าวในเครื่องคอมพิวเตอร์ดังกล่าว  วันที่  17 August 2019   ซึ่งไฟล์งานนี้จะมีค่าวันเวลา (Create) เป็นวันที่ 17 August 2019 และ  ค่าวันเวลา (Modified) เปลี่ยนแปลง ,แก้ไข  คือ วันที่  17 August 2019  เหมือนไฟล์เดิม

Download file from Email

Created / Modified Test on win 7 pro

   1.3 ผู้ใช้ทำการ Save as รูปจากเว็ปไซต์ดังกล่าว และบันทึก(save as)รูปดังกล่าวในเครื่องคอมพิวเตอร์ดังกล่าว  วันที่  17 August 2019   ซึ่งไฟล์งานนี้จะมีค่าวันเวลา (Create) เป็นวันที่ 17 August 2019 และ  ค่าวันเวลา (Modified) เปลี่ยนแปลง ,แก้ไข  คือ วันที่  17 August 2019  เหมือนไฟล์เดิม

1.3.1  Save Image As

1.3.2  Created / Modified   same

 

1.3.4 ในกรณีที่รูปภาพเคยดาวน์โหลดแล้ว เมื่อดาวน์โหลดซ้ำ จะมีข้อความให้บันทึกไฟล์ซ้ำภาพเดิม รูปดังกล่าวในเครื่องคอมพิวเตอร์ดังกล่าว  วันที่  17 August 2019   ซึ่งไฟล์งานนี้จะมีค่าวันเวลา (Create) เป็นวันที่ 12  June 2019 และ  ค่าวันเวลา (Modified) เปลี่ยนแปลง ,แก้ไข  คือ วันที่  17 August 2019 

This image has already been downloaded.

1.4. ผู้ใช้ทำการดาว์โหลดไฟล์งานดังกล่าวมาจากเว็บไซต์ฝากไฟล์ หรือ ลิงค์ดาวด์โหลด จำพวกเว็บแชร์ไฟล เช่น เว็ปไซต์ดรอปบ๊อก( Dropbox), กูเกิลไดรฟ์ (Google Drive) และทำการบันทึก(save)ไฟล์ดังกล่าวลงในเครื่อง คอมพิวเตอร์ดังกล่าว   วันที่ 17 August 2019  ซึ่งไฟล์งานนี้จะถูกใส่เวลาสร้าง (Create)เป็นวันที่ 17 August 2019 และ  ค่าวันเวลา เปลี่ยนแปลง ,แก้ไข (Modified) คือ 17 August 2019 เพื่อสะดวกในการทำงานในที่ต่างๆ กัน สามารถใข้งานที่ไหนก็ได้ที่เชื่อมต่ออินเตอร์เน็ท

Download Google drive

(Create)  17 August 2019 Test on win 7 pro

1.5. ผู้ใช้ทำการดาว์โหลดไฟล์ zip มาจากเว็บไซต์ หรือ ลิงค์ดาวด์โหลด และทำการบันทึก(save)ไฟล์ดังกล่าวลงในเครื่อง คอมพิวเตอร์ดังกล่าว   วันที่ 17 August 2019  ซึ่งไฟล์งานนี้จะถูกใส่เวลาสร้าง (Create)เป็นวันที่ 17 August 2019 และ  ค่าวันเวลา เปลี่ยนแปลง ,แก้ไข (Modified) คือ 17 August 2019

Download zip file

   ทำการแตก ไฟล์ Zip

Unzip

 เมื่อแตกไฟล์ออกมาแล้ว  ไฟล์ในนี้จะถูกใส่เวลาสร้าง (Create)เป็นวันที่ 30 May 2018 และ  ค่าวันเวลา เปลี่ยนแปลง ,แก้ไข (Modified) คือ 17 August 2019

Unzip

Windows Time Rules

Windows Time Rules according to SANS Institute

Last Update 8-2019

ที่มา:

https://cyberforensicator.com/2018/03/25/windows-10-time-rules/

https://www.andreafortuna.org/2017/10/06/macb-times-in-windows-forensic-analysis/

https://windowsir.blogspot.com/2017/03/incorporating-amcache-data-into.html

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud