Такое сочетание возможно после обычного копирования: на новом носителе появляется объект с новой датой создания, а отметка последнего изменения содержимого сохраняется. Похожая ситуация бывает при извлечении архива или восстановлении резервной копии. Поведение зависит от инструмента и файловой системы, поэтому расхождение само по себе не подтверждает изменение дат для сокрытия истории.
Для проверки нужны сам файл, сведения о его получении и, по возможности, источник копии. Эксперт сравнивает внутренние свойства документа с файловыми атрибутами и независимыми событиями, учитывает настройки часов и действия программ. Если происхождение копии неизвестно, он указывает возможные объяснения и пределы ответа. Скриншот окна свойств полезен как дополнительный материал, но не заменяет файл и данные носителя.