Alternate Data Streams (ADS) ile Gizli Veri Saklama: NTFS Üzerinde Görünmeyen Tehditler

Alternate Data Streams (ADS), NTFS dosya sistemine özgü bir özelliktir ve bir dosyanın görünmeyen ek veri akışları barındırmasına izin verir. Başlangıçta uyumluluk amacıyla tasarlanan ADS, zamanla gizli veri saklama, anti-forensics ve zararlı yazılım gizleme tekniklerinde kullanılmıştır. Bu makalede ADS’nin nasıl çalıştığını, adli analizde neden kritik olduğunu, tespit yöntemlerini ve sahada işine yarayacak ipuçlarını ele alıyoruz.

Alternate Data Streams (ADS) Nedir?

NTFS’te her dosya, birden fazla veri akışına sahip olabilir. Varsayılan akış ::$DATA iken, ADS ile ek ve gizli akışlar oluşturulabilir. Bu akışlar:

- Dosya boyutuna yansımaz
- Explorer’da görünmez
- Çoğu kullanıcı tarafından fark edilmez

Biçim:

1dosya_adı:akış_adı

Adli Bilişim Açısından Neden Önemli?
1. Gizli Veri ve Zararlı Kod Saklama

ADS, metin, ikili dosya, script veya zararlı payload saklamak için kullanılabilir. Dosya görünürde masumdur; asıl içerik gizli akıştadır.

2. Anti-Forensics ve İz Gizleme

- Explorer, dosya boyutunu yanlış/eksik gösterir
- Basit yedekleme ve kopyalama işlemleri ADS’yi taşımayabilir
- Bazı AV/EDR çözümleri ADS’yi gözden kaçırabilir

3. Olay Rekonstrüksiyonunu Zorlaştırır

ADS varlığı:

- Delil kapsamını genişletir
- “Dosya masumdu” savunmasını çürütür
- Zaman çizelgesinde beklenmeyen yürütmeler oluşturur

Teknik Örnekler (Eğitim ve Tespit Amaçlı)
ADS Oluşturma (Windows – Eğitim Amaçlı)

Bir metni başka bir dosyanın gizli akışına yazmak:

1echo gizli_veri > report.txt:secret

Explorer’da report.txt görünür, ancak secret akışı görünmez.

ADS Okuma

Gizli akışı görüntülemek:

1more < report.txt:secret

ADS İçindeki Dosyayı Çalıştırma (Tehlike Göstergesi)

Bu tür kullanım şüpheli davranış göstergesidir:

1start report.txt:payload.exe

ADS Tespiti ve Adli Analiz
1. dir /r ile ADS Listeleme

Bir dizindeki ADS’leri görmek için:

1dir /r

Bu komut, dosyalara bağlı tüm alternatif veri akışlarını listeler.

2. PowerShell ile ADS Tespiti

Daha kapsamlı bir tarama:

1Get-ChildItem -Recurse | Get-Item -Stream *

Bu çıktı, hangi dosyada hangi akışların bulunduğunu net biçimde gösterir.

3. Disk İmajı Üzerinde ADS Analizi

Adli imaj üzerinde çalışırken:

- NTFS metadata (MFT) incelenmeli
- Stream kayıtları kontrol edilmeli
- Dosya hash’i + ADS içeriği ayrı ayrı değerlendirilmelidir

Adli Senaryo Örneği

Olay:
Şüpheli sistemde invoice.pdf dosyası masum görünüyor.

İnceleme:

- Dosya boyutu normal
- İçerik standart PDF

Detaylı Analiz:

- dir /r → invoice.pdf:runme.exe
- ADS içinde çalıştırılabilir dosya bulundu

Sonuç:

- Dosya taşıyıcı (carrier) olarak kullanılmış
- Gizli yürütme kanıtlandı

Adli Analistler İçin Pratik İpuçları

NTFS Analizinde ADS’yi Varsay
“Temiz” görünen dosyalarda bile kontrol et
Özellikle .txt, .jpg, .pdf gibi masum uzantılara dikkat et

Kopyalama Davranışlarını İncele

- USB’ye kopyalanan dosyada ADS kaybolmuş olabilir
- Bu durum bilinçli iz silme göstergesi olabilir

Zaman Damgalarını Karşılaştır

- Dosya oluşturma zamanı ≠ ADS eklenme zamanı olabilir

AV Logları ile Korelasyon Yap

- AV uyarısı var ama dosya temiz mi?
- ADS kontrolü yapmadan karar verme

ADS ile Steganografi Arasındaki Fark

ADS: Dosya sistemi seviyesinde gizleme
Steganografi: İçerik seviyesinde gizleme

#AdliBilişim #kaynak