Alternate Data Streams Forensics

Définition

Les Alternate Data Streams (ADS) sont une fonctionnalité du système de fichiers NTFS permettant d'associer plusieurs flux de données à un même fichier ou répertoire. Chaque fichier NTFS a un flux de données principal (le contenu normal du fichier) et peut avoir un nombre illimité de flux alternatifs identifiés par un nom. Les ADS sont invisibles pour la commande dir standard et l'Explorateur Windows, les rendant intéressants pour masquer des données ou du code malveillant. La syntaxe d'accès à un ADS est nomfichier:nomstream. Par exemple, malware.txt:payload.exe est un exécutable caché dans un ADS de malware.txt. Les ADS héritent des attributs de sécurité du fichier parent mais ont leur propre taille (non incluse dans la taille visible du fichier dans l'Explorateur). La commande dir /r (depuis Windows 7) révèle les ADS existants. Les cas d'usage malveillants des ADS incluent : stocker un exécutable dans un ADS d'un fichier texte anodin (contournement des outils de monitoring qui n'analysent pas les ADS), cacher des données volées dans des fichiers légitimes, et stocker des scripts ou configurations malveillantes. Le Mark of the Web (MOTW) est implémenté via un ADS nommé Zone.Identifier qui documente l'origine d'un fichier téléchargé depuis Internet — sa présence ou absence est forensiquement importante (un fichier malveillant sans Zone.Identifier a été copié localement, pas téléchargé directement). La détection forensique des ADS passe par : la commande dir /r dans les répertoires suspects, l'outil streams.exe (Sysinternals) pour lister récursivement tous les ADS, et les outils forensiques comme Autopsy et The Sleuth Kit qui exposent les ADS dans leur interface. MFTECmd récupère également les ADS depuis le MFT raw. Les solutions EDR modernes surveillent la création d'ADS exécutables (Sysmon EventID 15 : FileCreateStreamHash). Sysmon Event ID 15 (FileCreateStreamHash) est particulièrement précieux : il journalise la création de fichiers avec ADS, incluant le hash SHA256 du contenu de l'ADS, permettant de détecter et d'identifier les ADS malveillants en temps quasi-réel.