Qui cache quoi sous la forme indétectable et invisible d'ADS ?

Puisque les flux ADS sont si bien cachés et indétectables, les cybercriminels s'en servent, une fois une machine pénétrée, pour y cacher des données ou des parasites.

Il n'y a pas que les cybercriminels qui transforment des machines en Zombies dans des BotNet. Des terroristes ou des criminels peuvent utiliser votre machine pour y cacher dans des ADS et revenir les consulter et les mettre à jour, des plans d'attaques, des schémas d'armes et explosifs, des plans de bâtiments, des professions de foi, des vidéos etc. ... tous documents qu'il serait trop dangereux pour eux de manipuler sur leurs propres ordinateurs... Des pédophiles ne conserveront jamais des milliers d'images ou vidéos pédophiles dans leurs propres ordinateurs mais dans ceux des autres, qu'ils ont pénétrés, sous formes de flux ADS indétectables.

Les flux ADS peuvent contenir un graphique, tel un icône, associé au flux principal ou un code de Tracking dans la poursuite des pirates de musiques et films ou un hashcode inscrit par un antivirus ou un outil de contrôle d'intégrité, etc. ...

La séparation entre un objet et ses flux ADS est à tel point complète qu'il est possible de le vérifier en utilisant les Hashcodes. Les Hashcodes sont des "chiffres clé" calculés à partir d'un contenu, de telle manière qu'il est impossible d'obtenir 2 Hashcodes identiques à partir de 2 contenus différents (quoique des attaques sur les Hashcodes obtenus avec l'algorithme MD5 rendent celui-ci moins fiable actuellement, la fabrication de "collisions" étant devenue possible). Installez SummerProperties, ou HashTab, et vérifiez les Hashcodes MD5 et SHA1 d'un fichier, ajoutez des flux ADS (noms des flux et contenus), revérifiez les Hashcodes : ils n'ont pas changé !

Création d'un ADS - Exercice

• Clic sur le bouton « Démarrer » dans les versions Vista, 7, 8, etc. ... de Windows.

• Passez en ligne de commande (Démarrer Exécuter ou saisie directement dans le champs de saisie, selon la version de Windows)
  
• Saisissez : notepad c:\ads.txt
  
• Appuyez sur la touche "Entrée"
  Si le fichier n'existe pas, il vous est demandé si vous voulez le créer. Dites Oui.
  
• Saisissez un texte quelconque
  
• Quittez notepad et enregistrez votre fichier.
  

• Repassez en ligne de commande (Démarrer Exécuter)
  
• Saisissez : notepad c:\ads.txt:flux_01.txt
  
  
  
  
• Appuyez sur la touche "Entrée"
  Windows ne trouve pas le fichier et propose de le créer. Dites Oui
  
  
  
  
• Mettez dedans un texte très long (des dizaines de milliers de caractères)
  
• Quittez notepad et enregistrez votre fichier
  
• Appelez l'explorateur de Windows. Le fichier c:\ads.txt est toujours là, inchangé mais le fichier c:\ads.txt:flux_01.txt est introuvable - il n'existe pas.
  
• Repassez en ligne de commande et re-saisissez :
  notepad c:\ads.txt:flux_01.txt
  
• Appuyez sur la touche "Entrée".
  
• Hop, voilà le fichier de flux ads ! Le fichier c:\ads.txt:flux_01.txt est bien là, bien enregistré sur le Disque dur, avec tout son contenu !
  

• Recommencez la même opération mais en mettant un suffixe .exe au flux additionnel ADS attaché au flux principal (à son "maître") et mettez-y un binaire (un programme comme un Spyware, un Keylogger, un Cheval de Troie, etc. ... - pour ce test, on peut ajouter notepad.exe en flux ads, de la manière suivante :
  type c:\windows\notepad.exec:\fichier_maitre_test.txt:notepad2.exe
  
• Repassez en ligne de commande saisissez :
  start c:\fichier_maitre_test.txt:txt:notepad2.exe
  
• Appuyez sur la touche "Entrée". Le flux est exécuté et notepad s'ouvre ! Son flux principal ("maître") n'est, pourtant, qu'un banal petit bout de fichier texte, dont le suffixe est .txt, un fichier texte inoffensif comme il peut difficilement se faire plus inoffensif.
  

• Les ADS (Alternate Data Stream) sont totalement invisibles (sauf à utiliser quelques utilitaires spécialisés, généralement gratuits, développés par ceux qui ont découvert leurs existences - voir Contre-mesures : Anti-ADS (Anti-Alternate Data Stream) et utiliser le programme ShowStream.
• Vous pouvez stocker et cacher un nombre illimité de documents secrets (fabrication de bombe, cours de hacking, programme exécutable cybercriminel, trucs piratés comme des films, document de 1, 10, 100 GO...) derrière un fichier apparent de 1 KO totalement anodin.
  
• Les flux ADS (Alternate Data Stream) s'attachent à tous les objets d'un système de gestion NTFS (fichiers mais aussi répertoires, y compris celui racine d'un volume).
  
• Un nombre quelconque de flux ADS (Alternate Data Stream) peut être attaché à un même objet.
  
• Les flux ADS (Alternate Data Stream) n'étant pas soupconnées par l'utilisateur, celui-ci n'a aucune raison de chercher à les analyser et encore moins de les supprimer.
  
• "L'espace disque disponible" (information affichée, par exemple, par l'explorateur de Windows ou par "Propriétés" d'un volume NTFS ne tiend pas compte des tailles des flux ADS (Alternate Data Stream). Un disque peut sembler vide alors que son espace est entièrement occupé par des flux ADS (Alternate Data Stream) invisibles et non décomptés. Ainsi, un parasite peut saturer un disque et, de la sorte, faire "tomber" un système, sans que l'utilisateur ou l'administrateur n'en soupconne la cause.
  
  
  
  
  
  
• Les flux ADS (Alternate Data Stream) ne peuvent être supprimés par des moyens normaux. Seul l'effacement de l'objet parent ou la copie de l'objet parent sur un support non organisé en NTFS puis sa restauration sur le supprot en NTFS permet l'effacement des flux cachés attachés. Les flux ADS (Alternate Data Stream) attachés à un dossier racine d'un volume NTFS ne peuvent pas du tout être effacés. Nota : depuis leur découverte, certains antivirus et anti-trojans les recherchent et les analysent. Il existe également, depuis, quelques utilitaires spécialisés - voir Contre-mesures : Anti-ADS (Anti-Alternate Data Stream).
  
  
• Un flux ADS (Alternate Data Stream) peut être un exécutable totalement invisible et peut être exécuté sans révéler son nom ! Il se lance avec la commande "Start" comme, par exemple,
  start c:\fichier_maitre_test.txt:fichier_ads_test.exe. L'exécution de cette tâche n'apparaîtra pas clairement dans le gestionnaire de tâches qui ne fera apparaître que le nom de l'objet parent !