¿De dónde viene LinkDate?

De la cabecera PE del binario, IMAGE_FILE_HEADER.TimeDateStamp. Lo escribe el linker. Amcache lo lee en el inventario y lo almacena como cadena.

¿Pueden los atacantes controlarlo?

Completamente. Puede fijarse a cualquier cosa, ponerse a cero para builds reproducibles, retrofecharse deliberadamente. Uno de los timestamps más controlables por el atacante en DFIR de Windows.

¿Puedo usar LinkDate como 'cuándo apareció el fichero en el host'?

No. Eso es KeyLastWriteTimestamp, y aun así solo es una cota superior. LinkDate no tiene nada que ver con el host.

¿Para qué sirve LinkDate?

Para agrupar binarios por campaña de build. Ordena binarios sospechosos por LinkDate y busca clusters cerrados con horas de diferencia. Los atacantes compilan su toolkit de una sentada y los link times se agrupan. Útil también para BYOVD: LinkDate antiguo más KeyLastWriteTimestamp reciente es la forma clásica.

¿LinkDate alguna vez es cero?

Sí. Builds reproducibles y algunos binarios Go lo ponen a cero deliberadamente. Cero no es sospechoso por sí mismo, pero significa que el campo no te aporta nada.

¿Qué es LinkDate en Amcache? (glosario)

LinkDate es el PE TimeDateStamp. El linker lo escribe en el binario en el momento del build. Amcache lo lee desde la cabecera PE en el momento del inventario. Esa es toda la historia.

No es un timestamp del lado del host. El host no tiene nada que ver con este valor. Viaja con el binario. Un atacante puede fijarlo a lo que quiera, dejarlo a cero o elegir una fecha en 2007 para que el fichero parezca un software viejo y establecido. Muchos lo hacen.

El contraste con KeyLastWriteTimestamp#

	KeyLastWriteTimestamp	LinkDate
Origen	Metadatos del registro, escritos por el appraiser	Cabecera PE, escrita por el linker
¿Lo controla el atacante?	No	Sí
Responde a	¿Cuándo registró Amcache esto?	¿Cuándo se compiló el binario?
Bueno para	Aproximación del first-seen en el host	Agrupación por campaña de build
Resolución	Segundos	Segundos

Confundir estos dos es el error más común con Amcache. La solución es no usar nunca, jamás, LinkDate para argumentar sobre cuándo apareció un binario en un host. Ver Timestamps de Amcache explicados para la versión larga.

Para qué sirve realmente#

Agrupación por build#

Ordena PEs no firmados por LinkDate. Busca 3-10 binarios sellados dentro del mismo día u hora. Eso es un atacante compilando su kit en una sentada y dejándolo caer en uno o varios hosts. Señal fuerte de campaña.

Import-Csv .\HOST_amcache_UnassociatedFileEntries.csv |
  Where-Object { $_.IsPeFile -eq 'True' -and -not $_.Publisher } |
  Sort-Object LinkDate |
  Select LinkDate, Hash, FullPath

Detección de BYOVD#

Drivers en DriverBinaries.csv con DriverTimeStamp de hace años pero KeyLastWriteTimestamp de esta semana tienen la forma clásica de BYOVD. Ver el glosario BYOVD.

Deriva del proceso de build#

"Nuestro CI siempre hace builds los lunes a las 03:00. Este es martes a las 14:00." Útil para captar cuándo se movió o se comprometió un pipeline de build interno.

Para qué no sirve#

Tiempo de first-seen en el host. Usa KeyLastWriteTimestamp.
Orden de llegada. Dos binarios con el mismo LinkDate pueden haber llegado con meses de diferencia.
Identidad criptográfica. Muchos binarios sin relación comparten valores LinkDate, especialmente cero.