Black Hat Windows 2002 - NT/2K Incident Response & Mining for Hidden Data: PostMortem of Windows Box

• 1

  NTFS 交替資料流（Alternate Data Streams）源自支援 Mac HFS 檔案系統的設計缺陷，允許在單一檔案內附加多個隱藏資料流，系統預設的 Explorer、DIR 命令和大多數工具無法看見它們，可隱藏執行檔、文檔甚至完整應用程式。

• 2

  MAC 時間戳記偽造完全掩蓋活動痕跡，攻擊者可將檔案的建立、存取、修改時間改為虛假日期（如改為放假時間），使鑑識人員無法建立真實時間軸，對事件回應調查造成嚴重障礙。

• 3

  隱藏的合法性功能遭濫用，如 AppInit DLL 登錄表機碼（在任何 GUI 應用啟動時自動載入任意 DLL）、AutoRun.inf 檔案、啟動目錄中的捷徑，這些都是系統管理員不熟悉但威力強大的隱藏方式。

• 4

  防護必須採取主動監控策略，包括建立 MD5 檔案完整性基線、啟用詳細稽核日誌、限制使用者檔案建立和登錄表寫入權限、部署即時檔案系統監控工具，單純權限控制不足以應對多層隱藏技術。

• 隱藏資料的具體方式：
• 改變檔案擴展名和簽章（檔案首 20 位元組特徵：JPEG 為 "JFIF"、GIF 為 "GIF89a"、Windows 執行檔為 "MZ"）
• DOS 屬性隱藏位元（`attrib +h`）
• 檔案分割工具（分解為任意大小段，可隱藏於交替資料流或各處檔案系統）
• Touch 指令修改 MAC 時間（建立、存取、修改時間可獨立竄改）
• 檔案綁定工具（EliteWrap、SaranWrap、SilkRope）
• OLE 複合檔案格式（Word/Excel 內嵌隱藏資訊）
• NTFS 交替資料流建立指令：`type notepad.exe > file.txt:hidden.exe`
• 執行隱藏可執行檔：`start file.txt:hidden.exe` 或 `notepad.exe file.txt:script.vbs`
• 隱寫術工具：
• S-Tools 4（自動提示密碼，難以判斷檔案是否包含隱藏資訊）
• Neil Provost 研究（University of Michigan，如何偵測隱寫術痕跡）
• 加密工具：
• PGP、EFS（檔案系統加密）
• Perl Crypt::3DES 模組（可隱藏密碼，透過 MD5 checksums 或線上檔案自動生成密碼）
• FCrypt（anti-security.nu）
• 登錄表隱藏位置：
• AppInit DLL：自動載入任意 DLL 到 GUI 應用程式
• 其他不常見登錄表機碼（難被發現）
• 偵測工具：
• LADS（Alternate Data Stream Scanner）
• Streams.exe（SysInternals）
• S-Find（Foundstone 法庭工具套組）
• AFind（檢查異常檔案時間）
• Tripwire（MD5 檔案完整性基線）
• hfind.exe（Foundstone，尋找隱藏檔案）
• Win32::AdvNotify Perl 模組（即時檔案系統監控，FSW File System Watcher）
• CrucialSecurity.com GUI 工具
• 防護與偵測方案：
• DACL 權限限制：防止使用者建立檔案、寫入登錄表、列舉特定機碼
• 檔案物件存取稽核（詳細日誌記錄檔案讀寫）
• MD5 基線建立與定期掃描自動化
• 即時檔案系統監控（Win32::AdvNotify）
• 中央 Syslog 蒐集和 Perl 文字自動化分析
• Tripwire for NT/2000（軍事機構採用的標準檢測工具）

“NTFS 交替資料流和時間戳記竄改是 Windows 上最有效的隱藏技術，防守需仰賴偵測工具、檔案完整性監控和即時稽核日誌的多層組合。”