Glosario
Bloque de extensión 0xBEEF0004
El bloque de extensión de los items file entry que añade las fechas de creación y acceso, una referencia de archivo NTFS y el nombre de archivo largo.
Los bloques de extensión siguen al cuerpo de un shell item de tipo file entry. El de firma 0xBEEF0004 es el más útil en forense: contiene las marcas de tiempo FAT de creación y último acceso, el nombre largo (Unicode) y, a partir de la versión 7, una referencia de archivo MFT de NTFS.
Su número de versión (3 en XP, 7 en Vista, 8 en Windows 7/8.0, 9 en 8.1/10, según libfwsi) cambia los offsets anteriores al nombre largo e indica qué versión de Windows escribió el item. Recorrido byte a byte: el formato de los shell items explicado.