Pengantar

Sistem operasi Windows memiliki berbagai fitur bawaan yang dirancang untuk meningkatkan fleksibilitas dalam pengelolaan file. Salah satu fitur yang jarang diketahui pengguna adalah Alternate Data Streams (ADS), yaitu kemampuan sistem file NTFS (New Technology File System) untuk menyimpan lebih dari satu aliran data (data stream) dalam sebuah file.

Awalnya, ADS dikembangkan untuk mendukung kompatibilitas dengan sistem file lain dan menyimpan metadata tambahan. Namun, karena sifatnya yang tidak terlihat pada penggunaan sehari-hari, fitur ini juga sering dimanfaatkan oleh pelaku kejahatan siber untuk menyembunyikan data berbahaya, malware, maupun skrip yang sulit terdeteksi.

Bagi administrator sistem, praktisi keamanan siber, maupun digital forensics investigator, memahami cara kerja ADS menjadi langkah penting dalam mendeteksi aktivitas mencurigakan pada sistem Windows.

Apa Itu Alternate Data Streams (ADS)?

Pengertian Alternate Data Streams

Alternate Data Streams (ADS) adalah fitur pada sistem file NTFS yang memungkinkan sebuah file atau direktori memiliki lebih dari satu aliran data (stream). Secara default, file memiliki satu primary data stream yang berisi isi utama file. Dengan ADS, pengguna dapat menambahkan stream tambahan tanpa mengubah ukuran atau tampilan file utama.

Sebagai contoh, sebuah file bernama:

laporan.txt

Dapat memiliki stream tambahan seperti:

laporan.txt:catatan

Isi dari stream catatan tidak akan terlihat ketika pengguna membuka file menggunakan aplikasi biasa maupun saat melihat ukuran file melalui File Explorer.

Menurut dokumentasi resmi Microsoft, NTFS mendukung penyimpanan beberapa data stream dalam satu file melalui mekanisme named streams, sehingga setiap stream dapat menyimpan data secara terpisah dari isi utama file (dikutip dari: https://learn.microsoft.com/en-us/windows/win32/fileio/file-streams).

Bagaimana Cara Kerja ADS?

Pada sistem NTFS, setiap file sebenarnya terdiri atas beberapa atribut.

ADS bekerja dengan menambahkan atribut data baru yang memiliki nama tertentu.

Sebagai ilustrasi sederhana:

  • Stream utama:

    laporan.txt

  • Stream tambahan:

    laporan.txt:hidden

Kedua stream tersebut berada pada file yang sama, tetapi sistem operasi hanya menampilkan stream utama secara default.

baca juga : HTTP Parameter Pollution (HPP): Celah Tersembunyi yang Dapat Mengubah Logika Aplikasi Web

Fungsi Asli Alternate Data Streams

ADS bukanlah fitur yang dibuat untuk aktivitas berbahaya.

Beberapa fungsi resminya meliputi:

  • Menyimpan metadata file.
  • Mendukung kompatibilitas dengan sistem file Macintosh lama.
  • Menyimpan informasi tambahan tanpa memengaruhi isi file utama.
  • Digunakan oleh beberapa aplikasi Windows untuk menyimpan konfigurasi.

Salah satu contoh yang sering ditemui adalah Zone.Identifier, yaitu ADS yang ditambahkan Windows pada file hasil unduhan dari internet untuk menandai asal file tersebut.

Mengapa ADS Menjadi Ancaman Keamanan?

Karena stream tambahan tidak terlihat melalui File Explorer biasa, ADS sering dimanfaatkan untuk menyembunyikan berbagai jenis data.

Contohnya:

  • Malware.
  • Script PowerShell.
  • Payload ransomware.
  • Informasi konfigurasi berbahaya.
  • Data hasil pencurian.

Hal tersebut membuat ADS menjadi salah satu teknik yang kerap ditemukan pada tahap post-exploitation dalam serangan siber.

Contoh Penyalahgunaan ADS

Misalkan penyerang memiliki file:

document.txt

Kemudian ia menyisipkan payload ke dalam ADS:

document.txt:payload.exe

Bagi pengguna biasa, file tersebut tetap terlihat seperti dokumen teks biasa. Namun, data tambahan tetap tersimpan di dalam sistem file dan dapat diakses menggunakan perintah tertentu atau dimanfaatkan oleh malware.

Teknik ini sering digunakan untuk mengurangi kemungkinan file berbahaya terdeteksi oleh pengguna.

Cara Melihat Alternate Data Streams

Windows menyediakan beberapa metode untuk melihat ADS.

Menggunakan Command Prompt

Perintah berikut dapat digunakan untuk menampilkan stream tambahan:

dir /r

Perintah tersebut akan menampilkan seluruh alternate data streams yang terdapat pada file dalam direktori aktif.

Menggunakan PowerShell

PowerShell menyediakan cmdlet:

Get-Item -Stream *

yang dapat digunakan untuk melihat stream pada file tertentu.

baca juga : Server-Sent Events (SSE) vs WebSockets: Mana yang Lebih Tepat untuk Aplikasi Real-Time Modern?

Menggunakan Tools Forensik

Beberapa alat forensik digital juga mampu mendeteksi ADS, antara lain:

  • Sysinternals Streams.
  • FTK Imager.
  • Autopsy.
  • Magnet AXIOM.

Dampak Keamanan Alternate Data Streams

Pemanfaatan ADS secara tidak sah dapat menimbulkan berbagai risiko keamanan.

Beberapa di antaranya meliputi:

  • Penyembunyian malware.
  • Penyembunyian script berbahaya.
  • Menghambat proses investigasi digital.
  • Membantu teknik persistence.
  • Menyimpan data hasil pencurian secara tersembunyi.

Oleh karena itu, ADS sering menjadi salah satu indikator yang diperiksa dalam proses incident response.

Perbedaan ADS dan Hidden File

Walaupun sama-sama digunakan untuk menyembunyikan data, keduanya memiliki konsep yang berbeda.

Aspek Alternate Data Streams Hidden File
Terlihat di Explorer Tidak Bisa ditampilkan dengan opsi tertentu
Menggunakan Stream Tambahan Ya Tidak
Membutuhkan NTFS Ya Tidak
Digunakan untuk Metadata Ya Tidak
Sering Disalahgunakan Malware Ya Ya

ADS lebih sulit dikenali karena file utama tetap tampak normal.

Cara Mencegah Penyalahgunaan ADS

Lakukan Monitoring File NTFS

Administrator sebaiknya memantau file yang memiliki alternate data streams yang tidak biasa.

Gunakan Endpoint Detection and Response (EDR)

Solusi EDR modern mampu mendeteksi aktivitas mencurigakan yang melibatkan ADS.

Periksa File Unduhan

Windows biasanya menambahkan stream Zone.Identifier pada file yang berasal dari internet. Pemeriksaan terhadap stream tambahan dapat membantu mengidentifikasi asal file.

Terapkan Least Privilege

Batasi hak akses pengguna agar malware tidak mudah membuat ADS baru pada sistem.

Lakukan Audit Berkala

Audit sistem file secara rutin dapat membantu menemukan stream tersembunyi yang tidak semestinya berada pada server maupun komputer pengguna.

Menurut MITRE ATT&CK, penggunaan NTFS Alternate Data Streams merupakan salah satu teknik yang dapat dimanfaatkan penyerang untuk menyembunyikan artefak atau data berbahaya selama proses kompromi sistem (dikutip dari: https://attack.mitre.org/techniques/T1564/004/).

Peran ADS dalam Digital Forensics

Dalam investigasi insiden keamanan, pemeriksaan ADS menjadi langkah penting karena stream tambahan sering kali menyimpan informasi yang tidak terlihat oleh pengguna biasa.

Analis forensik akan memeriksa keberadaan ADS untuk menemukan indikasi malware, konfigurasi tersembunyi, payload yang belum dieksekusi, maupun artefak lain yang dapat membantu merekonstruksi kronologi serangan. Oleh sebab itu, pemeriksaan ADS sebaiknya menjadi bagian dari prosedur standar dalam analisis sistem berbasis Windows.

baca juga : Menjadikan Critical Thinking sebagai Gaya Hidup

Kesimpulan

Alternate Data Streams (ADS) merupakan fitur bawaan sistem file NTFS yang memungkinkan penyimpanan beberapa aliran data dalam satu file. Meskipun awalnya dirancang untuk menyimpan metadata dan mendukung kompatibilitas sistem, ADS juga dapat dimanfaatkan oleh pelaku kejahatan siber untuk menyembunyikan malware, skrip, atau data berbahaya tanpa terlihat oleh pengguna.

Dengan memahami cara kerja ADS, administrator sistem dan praktisi keamanan dapat meningkatkan kemampuan deteksi terhadap aktivitas mencurigakan. Penerapan monitoring, audit rutin, penggunaan solusi EDR, serta pemeriksaan forensik terhadap alternate data streams menjadi langkah penting untuk mengurangi risiko penyalahgunaan fitur ini pada lingkungan Windows.

Related Posts: