Glossar
0xBEEF0004-Erweiterungsblock
Der Erweiterungsblock von File-Entry-Items, der Erstellungs- und Zugriffszeit, eine NTFS-Dateireferenz und den langen Dateinamen ergänzt.
Erweiterungsblöcke folgen auf den Rumpf eines File-Entry-Shell-Items. Der Block mit der Signatur 0xBEEF0004 ist forensisch der wertvollste: Er enthält Erstellungs- und letzte Zugriffszeit als FAT-Zeitstempel, den langen (Unicode-)Namen und ab Version 7 eine NTFS-MFT-Dateireferenz.
Seine Versionsnummer (3 unter XP, 7 unter Vista, 8 unter Windows 7/8.0, 9 unter 8.1/10, laut libfwsi) verschiebt die Offsets vor dem langen Namen und verrät, welche Windows-Version das Item geschrieben hat. Byte für Byte: das Shell-Item-Format erklärt.