Flujos alternativos de datos en NTFS

Según la especificación de NTFS de Microsoft, todo archivo de un volumen NTFS tiene al menos un flujo, el principal, y se pueden crear flujos con nombre cuyo nombre completo es archivo:flujo:tipo. El principal no lleva nombre. Los flujos con nombre no se ven en el explorador, pero el comando dir con la opción /R los lista. La pregunta del analista es: ¿qué contiene ese flujo y quién lo creó?

Hay una consecuencia práctica para la evidencia: los flujos con nombre solo existen en NTFS. Si un archivo se copia a otro sistema de archivos, se comprime en un ZIP o se adjunta a un correo, los flujos normalmente no viajan. Por eso se adquiere una imagen del volumen, no una colección de archivos copiados.

Abre la estación y lee dir-r.txt, el listado de la carpeta con la opción de flujos. Cada archivo aparece con su tamaño visible y, debajo, una línea por cada flujo con nombre. Hay flujos que el sistema o el navegador añaden a los archivos descargados; busca el archivo que tiene un flujo con un nombre distinto de esos.

El flujo Zone.Identifier es un pequeño marcador que Windows suele añadir a lo que baja de internet o llega de otra zona de confianza, y sirve para avisar al abrir. Es de unas decenas de bytes y su presencia en descargas es normal. Como pista de la historia de un archivo es útil: dice que vino de fuera. Como hallazgo de ocultación, no lo es.

Un archivo de texto de 1 KiB que arrastra un flujo de cientos de KiB es una incongruencia. El tamaño que muestra el explorador es el del flujo principal; lo escondido no suma ahí. Para dimensionar el hallazgo, calcula cuántos bytes más pesa el flujo con nombre del archivo de texto que arrastra uno grande que su contenido visible, con los números del listado.

El revisor anterior anotó en inicio-del-flujo.txt los primeros bytes del flujo, en hexadecimal. Empiezan por 4D 5A, las letras «MZ», que es la cabecera de un ejecutable de Windows. Eso es una pista, no una conclusión: el flujo parece un programa, y nadie lo ha ejecutado. La decisión es sobre el siguiente paso, que no es abrirlo, sino llevarlo al flujo de trabajo del triaje seguro de muestras (módulo 13) con la copia y sus huellas.