Ocultar información en ext4 usando extended attributes (xattr)

Si has leído este hack te habrás preguntado si es posible hacer algo parecido en Linux. Y sí, efectivamente, no con la misma tecnología que utilizan los Alternate Data Streams (ADS) de NTFS, pero con una que nos permite ocultar datos (aunque no muy extensos). Esta tecnología se llama «atributos extendidos» del sistema de archivos.

Antes que nada, vamos a instalar el paquete que nos sirve para interaccionar con esta tecnología:

sudo apt-get -y update && sudo apt-get -y install attr

Entonces, una vez instalado, vamos a ver si el archivo pepe.txt tiene asignados atributos extendidos:

getfattr -d pepe.txt

Si la salida no devuelve nada, no los tiene. Le agregamos datos ocultos, entonces:

setfattr -n user.hidden -v "flag{D3b1an_4ul3s}" pepe.txt

Ahora, si hacemos nuevamente:

getfattr -d pepe.txt

…obtendremos:

# file: pepe.txt
user.hidden="flag{D3b1an_4ul3s}"

Limitaciones

• El tamaño máximo suele ser de unos pocos KB.
• No sirve para ocultar grandes binarios.
• No es tan práctico para ocultación maliciosa como los ADS de NTFS.