Чтобы увидеть NTFS ADS под линуксом нужно монтировать ntfs раздел при помощи ntfs-3g
1. Нужно использовать опции монтирования:
show_sys_files,streams_interface=windows
Это даст возможность возможность скопировать нужный поток
$cp /mnt/windows/system32/svchost.exe:ext.exe:$DATA /tmp
К сожалению $ls -la /mnt/windows не выводит в своем списке ADS.
2. Другой способ найти дополнительные ADS - это монтирования с опциями
show_sys_files,streams_interface=xattr
Такой способ даст возможность смотреть NTFS ADS, как расширенные атрибуты файлов при помощи стандартных комманд getfattr и изменять при помощи setfattr. Например:
$getfattr -n ntfs.streams.list /mnt/windows/system32/svchost.exe
Автор ntfs-3g обещал в будущем сделать смешанный режим streams_interface=windows+xattr