Trusted Design
Every New Technology File System (NTFS) formatted partition contains a Master File Table (MFT) that maintains a record for every file/directory on the partition. (Citation: SpectorOps Host-Based Jul 2017) Within MFT entries are file attributes, (Citation: Microsoft NTFS File Attributes Aug 2010) such as Extended Attributes (EA) and Data [known as Alternate Data Streams (ADSs) when more than one Data attribute is present], that can be used to store arbitrary data (and even complete files). (Citation: SpectorOps Host-Based Jul 2017) (Citation: Microsoft File Streams) (Citation: MalwareBytes ADS July 2015) (Citation: Microsoft ADS Mar 2014)
Adversaries may store malicious data or binaries in file attribute metadata instead of directly in files. This may be done to evade some defenses, such as static indicator scanning tools and anti-virus. (Citation: Journey into IR ZeroAccess NTFS EA) (Citation: MalwareBytes ADS July 2015)
T1096「NTFS File Attributes」（NTFSファイル属性） は、WindowsのファイルシステムであるNTFSの標準機能である 「代替データストリーム（ADS: Alternate Data Streams）」 を悪用し、ファイルやコードを隠蔽するテクニックです。
この手法で攻撃者は、「正規のファイルの中身とは別の場所に、別のデータを隠し持つこと」を実現します。
* **不可視化:** エクスプローラーや標準の `dir` コマンド（オプションなし）では見えない場所に、マルウェア本体や設定ファイルを隠す。
* **検知回避:** ファイルサイズが0バイトに見える、あるいは正規のファイル（画像やテキスト）のサイズしか表示されないため、不審な大容量ファイルとして検知されにくい。
* **コードの実行:** 隠したデータストリームから直接バイナリを実行したり、スクリプトを呼び出したりする。
NTFSのファイルは、メインのデータストリーム（::$DATA）以外に、名前の付いた別のストリームを持つことができます。
:）を使ってデータを作成します。type evil.exe > readme.txt:hidden.exereadme.txt の見た目やサイズは変わりませんが、その背後に hidden.exe が隠されます。dir /r コマンドを実行すると、ファイルに付随するストリーム名が表示されます。wmic や start コマンド、あるいは特定のWindows APIを介して、隠したストリームを直接実行します。start readme.txt:hidden.exe「見えない場所がある」ことを前提とした監視が必要です。
:（コロン）が含まれる書き込み操作を監視し、特に実行ファイルやスクリプトがストリームに書き込まれた場合にアラートを上げます。Streams など）を使用して、定期的に異常なストリームがないか検査します。wmic や powershell がファイル内のサブストリームを実行しようとする挙動をブロックします。T1096自体はファイルシステムの仕様悪用ですが、これに関連したバイパス事例があります。
豆知識: 古い攻撃手法と思われがちですが、現代のマルウェア（Gootkitや各種ランサムウェア）も、自身の構成ファイルやメインのペイロードを隠すために、今なお好んでADSを使用します。
この攻撃手法を利用する脅威アクターは登録されていません。
この攻撃手法に関連する CVE は登録されていません。