Pesquisadores da Universidade de Polícia Norueguesa mapeiam seis técnicas para esconder dados em sistemas de arquivos Btrfs
Um artigo publicado na Forensic Science International: Digital Investigation (v.58) apresenta seis métodos inéditos de ocultação de dados dentro da estrutura interna do Btrfs, incluindo abuso de STRING_ITEMs, e avalia cada um por capacidade, estabilidade e dificuldade de detecção. Os autores, Fergus Toolan e Georgina Humphries, apontam que as ferramentas forenses atuais têm suporte limitado ao Btrfs, o que amplia a janela de uso dessas técnicas como anti-forense em investigações reais.
O Btrfs é o sistema de arquivos padrão em distribuições Linux relevantes para peritos, como openSUSE e, cada vez mais, Fedora, além de ser usado como base para snapshots e volumes em servidores e containers. Diferente do NTFS ou do ext4, ele é copy-on-write e organiza quase tudo — inclusive metadados de diretório, atributos estendidos e nomes — em estruturas de árvore B genéricas (b-trees) compostas por itens tipados, entre eles os chamados STRING_ITEMs. Essa flexibilidade estrutural, que é uma vantagem de design, também abre espaço para esconder dados em áreas que parsers forenses tradicionais não interpretam como conteúdo de arquivo.
O artigo descreve seis técnicas distintas de ocultação nessa camada interna do sistema de arquivos, cada uma avaliada segundo três critérios práticos para um investigador: quanto dado é possível esconder (capacidade), se a técnica sobrevive a operações normais do sistema de arquivos como balanceamento de árvore, snapshots e desfragmentação (estabilidade), e quão difícil é detectá-la com as ferramentas disponíveis hoje (detectabilidade). Esse enquadramento é o que torna o trabalho útil para quem faz perícia, e não apenas uma curiosidade acadêmica: ele não apenas mostra que é possível esconder dados, mas ordena as técnicas por risco real de passarem despercebidas em uma análise.
O ponto mais sensível para a prática forense é a lacuna de suporte das suítes atuais a este sistema de arquivos. Ferramentas consolidadas como Autopsy/The Sleuth Kit têm cobertura de Btrfs mais rasa do que a de sistemas de arquivos legados, e isso significa que dados posicionados nas estruturas descritas pelos autores podem simplesmente não aparecer em uma análise padrão de disco, mesmo com um exame cuidadoso do espaço alocado. Em um caso envolvendo servidores Linux, NAS ou distribuições que adotam Btrfs por padrão, essa técnica de anti-forense poderia ser usada para exfiltrar ou esconder material sem deixar arquivos visíveis no sistema.
Na prática, o valor imediato do artigo para times de DFIR é servir de checklist de o que procurar manualmente ou via script quando um caso envolve Btrfs: inspecionar itens de metadados fora do padrão esperado, validar STRING_ITEMs contra o que deveria estar ali, e não assumir que a ausência de anomalias no conteúdo de arquivos significa ausência de dados ocultos. A publicação também é um sinal para desenvolvedores de ferramentas forenses de que a cobertura de Btrfs precisa evoluir — o hiato entre a adoção crescente do sistema de arquivos e o suporte forense é exatamente o tipo de lacuna que anti-forense explora.