Как спрятать данные в скрытом NTFS-потоке

Быстрая навигация

• Как это работает
• Прятание данных в скрытом отсеке
• Поиск файлов с потоками
• Удаление потоков
• Добавление в скрытый поток из командной строки
• Чтение потока из командной строки
• Советы по безопасности и совместимости
• Справочный набор команд (cheat sheet)

Как это работает

Начиная с Windows 2000, файловая система NTFS поддерживает Alternate Data Streams (ADS). ADS позволяют привязать дополнительные данные к имени файла через «имя потока». Эти данные не видны при обычном просмотре каталога и не учитываются как явные файлы — получить к ним доступ можно только зная точное имя потока.

Коротко: представьте дополнительные потоки как секретные отсеки внутри файла. «Секретный код» — это имя потока. ADS полезны для метаданных, временных заметок или совместимости, но не являются средством шифрования.

Важно: работает только на разделах с NTFS.

Прятание данных в скрытом отсеке

Откройте Командную строку (cmd.exe) и используйте синтаксис:

notepad SomeFile.txt:SecretWordHere.txt

Правила:

• Всё, что после двоеточия — имя потока. Между именем основного файла и двоеточием не должно быть пробелов.
• Если вы не указали расширение для потока, Блокнот добавит .txt автоматически и предложит создать файл-поток.

Когда поток создан, откроется обычное окно редактирования. Внесите данные и сохраните.

Главный файл при этом остаётся того же размера и внешне не меняется:

Вы также можете открыть основной файл и отредактировать видимое содержимое — потоки не влияют на основное тело файла.

Можно добавлять произвольное число потоков с разными именами:

Каждый поток независим; они не влияют на основную версию файла и друг на друга. Но доступ к ним только через специальные команды или API.

Заметьте: при копировании файла на том, не являющийся NTFS (USB на FAT32, exFAT, сетевые протоколы, архивы), ADS обычно теряются.

Поиск файлов с потоками

ADS не полностью невидимы. Есть инструменты для обнаружения:

• Sysinternals Streams.exe — показывает файлы с потоками и имена потоков.
• Команда DIR /R (в современных Windows также работает) показывает атрибуты потоков в каталоге.

Пример использования Streams.exe:

streams.exe SomeFile.txt

Если вы используете DIR с ключом /R, вы также увидите потоки в списке:

Удаление потоков

Streams.exe может удалять потоки у файла. Простая команда удалит все обнаруженные потоки у указанного файла:

streams.exe -d SomeFile.txt

Примечание: инструменты вроде streams.exe обычно удаляют все потоки для файла; выборочное удаление одного потока может быть недоступно.

Добавление в скрытые потоки из командной строки

В поток можно записать данные командой echo или любым инструментом, который может перенаправлять ввод/вывод. Пример:

echo "Neat!" > SomeFile.txt:Test

После записи streams.exe покажет наличие нового потока.

Чтение потока из командной строки

Чтобы прочитать поток, перенаправьте его ввод в more или в любой другой инструмент чтения. Общий синтаксис:

more < FileName:StreamName

В примере из исходного материала команда выглядела так:

more < SomeFile.txt:SecretSquirrel!.txt

Вы увидите текст скрытого потока прямо в консоли.

Когда этот трюк не работает — ограничения и примеры неудач

• Копирование на FAT32/exFAT/мертвый том/архиватор обычно теряет ADS.
• При синхронизации с облаком (OneDrive, Dropbox) потоки могут быть проигнорированы и не перенесены.
• Антивирус/Forensics-инструменты или администрация могут обнаружить и удалить ADS.
• ADS не шифруют данные — при наличии доступа к системе содержимое можно прочитать.

Альтернативные подходы

• Для реальной конфиденциальности используйте шифрование (VeraCrypt, BitLocker, встроенное шифрование Windows). ADS подходит только для маскировки, а не для защиты.
• Используйте скрытые зашифрованные контейнеры, если нужно переносимое и защищённое решение.

Практическая методология (мини-метод)

1. Убедитесь, что диск в NTFS.
2. Подготовьте основной файл (SomeFile.txt). Он будет видимым «фасадом».
3. Создайте поток через notepad или команду echo:
   • notepad SomeFile.txt:SecretName.txt
   • echo “Секрет” > SomeFile.txt:Hidden
4. Проверьте наличие потоков:
   • streams.exe SomeFile.txt
   • dir /R SomeFile.txt
5. Для чтения используйте more < SomeFile.txt:SecretName.txt
6. Для удаления — streams.exe -d SomeFile.txt

Справочный набор команд (cheat sheet)

• Создать/открыть поток в Блокноте:

notepad SomeFile.txt:SecretName.txt

• Записать короткий текст в поток:

echo Text > SomeFile.txt:StreamName

• Прочитать поток:

more < SomeFile.txt:StreamName

• Найти потоки (Sysinternals):

streams.exe SomeFile.txt

• Удалить потоки целиком:

streams.exe -d SomeFile.txt

• Просмотреть потоки через DIR:

dir /R SomeFile.txt

Рекомендации для администраторов и пользователей (чеклист)

Для пользователей:

• Не храните личные/чувствительные данные в ADS без шифрования.
• Проверяйте, на какой томе вы работаете (NTFS/не NTFS).

Для администраторов:

• Мониторьте наличие ADS на рабочих станциях с помощью инструментов (Sysinternals, PowerShell).
• Документируйте правила о хранении данных: ADS может скрывать важную информацию.
• Настройте резервное копирование с учётом ADS, если это критично.

Безопасность и соответствие требованиям конфиденциальности

Important: ADS — не замена шифрованию. Для соответствия требованиям GDPR/локального законодательства храните персональные данные в зашифрованных и задокументированных хранилищах. Если в ADS попали персональные данные, это может быть проблемой с точки зрения контроля доступа и аудита.

Советы по безопасности:

• Для секретных данных применяйте шифрование (VeraCrypt, BitLocker).
• Не полагайтесь на скрытие через ADS как на меру безопасности.
• Аудитируйте файлы и потоки с помощью централизованных инструментов.

Совместимость и миграция

• NTFS-only: ADS работает только на NTFS. На FAT32/exFAT/SMB/FTP/ZIP потоки обычно не сохраняются.
• При переносе файла через сеть/архивы — проверьте, сохраняются ли потоки.
• Виртуальные диски/контейнеры: внутри NTFS-тома ADS работают нормально.

Примеры применения и когда лучше не использовать

Подходящие сценарии:

• Хранение служебных метаданных, которые не должны быть видны обычным пользователям.
• Короткие заметки/инструментальные пометки для локальных сценариев.

Неподходящие сценарии:

• Хранение секретов, паролей или персональных данных без шифрования.
• Перенос данных между различными ОС/файловыми системами.

Итог и рекомендации

ADS — интересный и полезный инструмент NTFS для скрытой привязки данных к файлу. Он удобен для метаданных, временных заметок и «шутливой» маскировки, но не заменяет шифрование и надёжные методы защиты. Если цель — конфиденциальность, используйте зашифрованные контейнеры или дисковые шифраторы. Если цель — просто спрятать мелкую справочную информацию локально, ADS может выручить.

Короткая памятка: ADS = удобно для маскировки, небезопасно для секретов.

Краткое резюме и ключевые выводы ниже.

Ключевые выводы

• ADS существуют в NTFS и доступны через синтаксис FileName:StreamName.
• Для работы с потоками используйте notepad, echo, more, streams.exe и dir /R.
• Потоки не переносятся на не-NTFS тома и не шифруют данные.
• Для реальной безопасности используйте шифрование (VeraCrypt/BitLocker).

Спасибо за внимание — учиться новым трюкам интересно и полезно.