Крутой разбор, спасибо! Добавлю, что иногда ребята забывают про нюанс с Last Access в $MFT — начиная с Висты он по умолчанию отключён и там легко запутаться с временем. И ещё про Amcache: полезно смотреть не только на даты, но и на отсутствие цифровой подписи, там часто фишки кроются. В общем, супер, что связали всё в один таймлайн — без этого никак.