Estava a testar o software RootKitRevealer quando vi um ficheiro parecido com o que tinha feito o download à pouco tempo a informar que a API do windows não o mostrava pesquisei na net e verifiquei que o IE ao gravar, junto com ficheiros que podem ter conteudo executavél ou macros, informação adicional (NTFS Alternate Data Stream) que não é lida pela API com essa indicação.
Ficheiro original: teste.doc
Ficheiro criado pelo IE: teste.doc:Zone.Identifier (Hidden from Windows API)
Conteudo do ficheiro teste.doc:Zone.Identifier:
[ZoneTransfer]
ZoneId=3
Para ver o seu conteudo utilizar o comando em DOS:
- Código: Seleccionar todos
MORE < FILENAME.DOC:ZONE.IDENTIFIER
Este ZoneId pelo que percebi é uma indicação a informar o windows que o ficheiro é proveniente de um outro computador pois pode-se aceder às propriedades do ficheiro e no tab General existe no fundo a opção para desbloquear o ficheiro. Após desbloquear o ficheiro a informação é pagada.
O que faz pensar, o que será que o windows esconde mais dos utilizadores?
