Dateien mittels Alternate Data Streams verstecken - nur NTFS-Dateisysteme

bastla

mit bastla_Assi
Hallo zusammen und willkommen zu einem zweiten Versuch Dateien in andere zu verstecken!

Wem diese Anleitung zu blöd, unsicher oder einfach nur zu einfach fand, der ist hier genau richtig. Wer die erste Anleitung nicht gecheckt hat, zurück an den Anfang, die ist 100%ig idiotensicher!

Diese Anleitung richtet sich an Möchtegern-Experten, bzw. Experten, die schonmal mit diesem "grünen Ding aus Matrix" gearbeitet haben und die bereit sind wichtige Dateien NIE wieder zu finden!

Worum geht's und was soll das alles?
In diesem zweiten Anlauf werden wir versuchen Dateien noch sicherer und unsichtbarer zu verstecken. Allerdings ist die Gefahr sehr groß seine Dateien nicht wiederzufinden, da sie ohne bestimmte Programm unauffindbar werden :D. Aber wie sagt der Engländer: No risk no fun!

Zum Beweis noch ein Zitat von ditto (Danke dafür ;)):
Bitte keine Spielchen mit ADS! Du wirst es verstehen, wenn du das erste Rootkit auf deinem Rechner hattest. Zudem erkennt jede gute Antivirensoftware ADS als Schädlinge und entfernt diese automatisch. Im schlechtesten Fall hast du einen Datentotalverlust. Batch kann sowas nicht wiederherstellen!

Welche Bedinungen müssen erfüllt sein?
Du musst mit CMD umgehen können. Ob du das kannst, kann man ganz einfach feststellen:
Du brauchst für diese Methode nämlich ein NTFS-Dateisystem. Wenn du davon noch nie gehört hast, dann lerne diese Anleitung nochmal auswendig!
Wenn du weiß, dass du ein NTFS-System hast, besteht ein 99%gie Chance, dass du mit CMD umgehen kannst!
Du musst die oben gepostet Anleitung gelesen haben (oder auch nicht, aber dann weisst du, welche Begriffe ich verwende und warum ditto nicht ernst zu nehmen ist)

Welche Methode wird angewand?
Erstens: Eine ziemlich lockrere und für dich evtl deprimierende Erzählmethode. Wenn du damit ein Problem hast, gehe zu oben geposteten Anleitung (zu faul, den Link nochmal zu posten).

Zweitens: Alternate Data Streams.
Vlt hast du sie schonmal gehört (gesehen garantiert nicht :D) oder damit schonmal gearbeitet und möchtest uns davor warnen.

Alternate Data Steams (kurz ADS) sind unsichtbare Dateiergänzungen, die man sich zu Nutze machen kann um eine Datei zu verstecken. Das Gemeine/Fiese/Gute/Nachteilige daran (je nachdem, wie mans sieht): Sie sind so gut wie unaufspürbar. Man merkt der Deckdatei nicht an, dass sie eine andere Datei enthält. Weder über die Dateigröße noch über Entpackerprogramme.
Sie funktionieren wie Ordner, denn in ihnen kann man unendlich viele andere Dateien verstecken (bis die Meldung kommt, dass kein Speicher mehr verfügbar ist, obwohl der Explorer noch 50 GB freien Speicher anzeigt :smokin).
Wenn man also noch angebliche 50 GB frei hat und Word beim speichern eines Dokuments nicht genug Speicher mehr hat, hat dein Freund seine sämtliche Pornosammlung bei dir per ADS untergebracht (-> dann weisst du übringes auch, dass du ein NTFS-Dateisystem hast).

Du hast bestimmt schonmal von ihnen gemerkt: Wenn du eine schöne EXE aus dem Internet lädst und sie dann öffnet, kommt diese Windowswarnanzeige, von wegen Hersteller will dich mit Virus verseuchen und so.
Wenn du die Datei dann aber einem Kumpel zukommen lässt, übern Stick, wird der diese Meldung nicht mehr bekommen, da der Stick höchstwahrscheinlich nicht über NTFS sonder FAT32 verfügt.

Schöner Nachteil/Vorteil: Wenn ein Unbefugter sich Dateien auf CD brennt, um sie zu Hause zu analysieren, werden die ADS nicht mitgebrannt.

Long form short form: Alternate Data Streams sind so gut wie unaufsprübar!

Au jau: Bevor ichs vergess - mit ADS kann man sogar Ordner zu geheimen Speicher machen (ich empfehle das aber nicht).

Wie kann ich meine Dateien mit ADS verstecken?
Zuerst packst du deine geheime Datei, in diesem Beispiel mal einen Film mit dem Namen "geheimer Film.avi", und deine "Deckdatei", im Beispiel hab ich sie "nutzlose Datei - aber bitte nicht löschen!.txt" genannt, in einen Ordner.
Wir erinnern uns: Man konnte mit der oben geposteten Methode keine Dateien in TXT-Files injizieren!

Dann navigierst du mit CMD oder DOS oder dem "Matrixding" zu dem Ordner (wenn du das jetzt nicht kannst, dann bist du dieser 1% von den oben gennanten 99%).
Der Befehl von ADS lautet:
Code:
type DateiZumVerstecken > Deckdatei:stream

Dont worry, auf unser Beispiel übertragen heißt das:
Code:
type "geheimer Film.avi" > "nutzlose Datei - aber bitte nicht löschen!.txt":"geheimer Film.avi"
Wobei der Stream-Parameter "geheimer Film.avi" natürlich auch irgendwie anders genannt werden kann.

Jetzt Achtung:
Ihr müsst Dateien, die ein Leerzeichen enthalten, in Anführungszeichen (") setzen
(wenn man mit CMD arbeiten kann bzw. meint zu können, dürfte das eigentlich klar sein)!
Außerdem müsst ihr euch merken, wie ihr den Stream genannt habt, sowie das Dateiformat der geheimen Datei sowie die Deckdatei, da eure geheime Datei sonst pfutsch ist!


Dateien aus dem ADS öffnen
Das ist verhältnismäßig gesehen einfach:
Programme können, zwar nicht alle, aber gute, Dateien direkt im ADS öffnen. Für eine Textdatei ginge das zum Beispiel mit
Code:
notepad Deckdatei:Stream
und für eine EXE wäre das
Code:
start Deckdatei:Stream

Für unseren Film bräuchten wir einen ADS-fähigen MediaPlayer (kurz MPlayer) und dann lautet der Befehl:
Code:
MPlayer "Unnötige Datei - bitte nicht löschen!.txt":"geheimer Film.avi"

Ich denke, dass Prinzip sollte jetzt klar sein!

Dateien aus dem ADS "rausholen"
Das ist nicht ganz so einfach :(.

Für TEXTDATEIEN, und nur für txt-files, geht das mit dem Befehl
Code:
more < Deckdatei:Stream > Ausgangsdatei

Für andere Dateien geht das nicht mit Windoof-Boardmitteln (tja, Microsoft ist halt schlau: Stattet Windows mit einer ADS-"Pack"-Funtion aus, aber nicht mit einer "Entpack"-Funktion).
Aber nicht verzagen: bastla fragen!

Da Windows uns nun wieder einmal mehr im Stich lässt, müsst ihr euch das Programm "cat" besorgen. Bevor ihr jetzt wieder Nachmittage euch in einschlägigen Hackerboards rumtummelt, könnt ihr euch das Programm von mir holen oder direkt von SourceForce.

Das Programm lässt sich relativ einfach über den Befehl
Code:
cat Deckdatei:Stream > Ausgangsdatei
bedienen. Zuerst muss "cat.exe" natürlich noch in den system32-Ordner kommen oder in das Verzeichnis mit der Deckdatei, aber das müsstet ihr ja wissen.

Für unser Beispiel müsste also der Befehl lauten:
Code:
cat "Unnötige Datei - bitte nicht löschen!.txt":"geheimer Film.avi" > "harmloser Film.avi"

ADS löschen
Wie ihr bereitst wisst, sind ADS ziemlich trickreich: Einmal mit cat aus der Deckdatei geholt, sind sie natürlich noch drin, ihr müsst also entweder die ganze Deckdatei löschen oder leert den Stream wieder.

Das geht mit:
Code:
echo. > Deckdatei:Stream

Das wars.

Ich hoffe ich konnte euch helfen und Gruß
bastla

PS: Sorry, für die evtl "harte" Schreibweise, aber ich hatte gerade keine Lust, mich hinzusetzen, Bilder zu machen, ein Programm zu schreiben usw.
Apropos Programm: Wenn Palladin zustimmt, coden wir eins zusammen (oder ich alleine ;)).
Und natürlich dürfen auch gerne Fragen gestellt werden!

Edit:
Palladin macht nicht micht. Mal gucken, vlt mach ich dann eins alleine
 

Anhänge

  • cat.exe.zip
    10,6 KB · Aufrufe: 405
Zuletzt bearbeitet:
Bitte keine Spielchen mit ADS! Du wirst es verstehen, wenn du das erste Rootkit auf deinem Rechner hattest. Zudem erkennt jede gute Antivirensoftware ADS als Schädlinge und entfernt diese automatisch. Im schlechtesten Fall hast du einen Datentotalverlust. Batch kann sowas nicht wiederherstellen!
 
Deswegen habe ich die Gefährlichkeit des Themas extra deutlich hervorgehoben!

Trotzdem danke für den Hinweis.
ot:
Ich werde sowieo mein HideFile benutzen ;)


Gruß
bastla
 
Oben