Códigos de razão USN — lendo entre os bits

Quem passa tempo na forense de Windows acaba decorando a bitmask de razão do USN. É um campo de 32 bits que o NTFS define em cada registro do journal para resumir o que acabou de mudar em um arquivo. Os bits não dizem tudo — são aditivos, não exclusivos — mas, lidos juntos, dão um quadro notavelmente preciso do ciclo de vida.

Os bits

Close é especial: o NTFS coalesce operações sucessivas sob o mesmo handle e só emite o registro final com Close quando o handle vai embora. Um registro sem Close é o sistema escoando estado intermediário — útil, mas o registro com Close é o resumo autoritativo.

Padrões que você verá na natureza

Alguns padrões ocorrem tantas vezes que você deveria reconhecê-los de imediato:

• Novo arquivo escrito por uma aplicação. FileCreate | DataExtend → DataExtend | Close → BasicInfoChange | Close. O último é o arquivo recebendo seu mtime no fechamento.
• Renomeação entre diretórios. Dois registros no mesmo FileReferenceNumber: RenameOldName | Close e depois RenameNewName | Close. A referência pai difere entre os dois — é assim que você reconstrói o movimento.
• Salvar-por-renomear atômico. Muitos editores escrevem em um arquivo temporário e depois renomeiam sobre o alvo. Você vê FileCreate no temp, FileDelete | Close no original e RenameNewName | Close no temp.
• Ransomware cifrar-depois-renomear. Registros DataOverwrite cobrindo megabytes, seguidos de RenameNewName | Close com a nova extensão. A contagem e o ritmo dos DataOverwrite são frequentemente onde você primeiro percebe uma amostra em disco.
• Quarentena de antivírus. FileDelete | Close imediatamente após um FileCreate recente, tudo sob a mesma MFT entry. O journal fornece a prova de que o AV tocou o arquivo mesmo depois que o arquivo em si sumiu.

O que os bits não dirão

A bitmask de razão fala sobre o arquivo, não sobre o ator. Sem usuário, sem PID, sem linha de comando. Combine o journal com Security.evtx (4663 acesso a objeto) ou com Microsoft-Windows-Sysmon/Operational para anexar um ator a cada operação. O USN dá o quando e o que; outros logs dão o quem.

Receita prática de leitura

Ao abrir um journal parseado:

1. Filtre FileCreate para ver o que é genuinamente novo na janela temporal.
2. Procure RenameNewName para capturar movimentação e padrões de «salvar como».
3. Plote a contagem de DataExtend ao longo do tempo — escritas em massa (backups, criptografia, staging de exfiltração) saltam aos olhos.
4. Leia primeiro os registros com Close ativo; trate os intermediários como evidência de apoio.

A app web deste site permite filtrar por qualquer combinação de razões, o que torna os passos 1–3 um exercício de um clique.