危險的偽裝 TXT 檔識別與防範：.shs 碎片物件、.html 冒充 .txt、雙重副檔名攻擊完整解析

前言

攻擊者常利用 Windows 隱藏已知副檔名、雙重副檔名、Shell 擴充功能等特性，將惡意程式偽裝成無害的 .txt 檔案誘騙使用者點擊。本文深入解析三種經典偽裝手法、識別特徵與防範對策。

攻擊手法一：冒充 .txt 實為 .html（CLSID 劫持）

原理

• 真實副檔名為 .{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}（HTML 檔案關聯的 CLSID）。
• 檔名顯示為 readme.txt，但雙擊觸發 mshtml.dll 以 HTML 引擎解析執行腳本。
• 腳本內嵌 WScript.Shell 物件，可執行 format.com、刪除檔案、修改登錄檔等危險操作，並彈出偽裝對話框欺騙使用者（「Windows 正在設定系統，請勿中斷」）。

識別特徵

1. 圖示非記事本圖示，而是「未知檔案類型」通用圖示（白紙加藍色邊框）。
2. 「資料夾選項」→「檢視」→ 取消「隱藏已知副檔名」後，仍無法看到真實副檔名（因為是 CLSID 而非標準副檔名）。
3. 在「我的電腦」啟用「網頁檢視」模式，左側資訊欄會顯示完整檔名含 CLSID。

攻擊手法二：.shs 碎片物件偽裝 .txt

原理

• .shs (Shell Scrap Object) 為 OLE 碎片物件，可內嵌任意命令列指令（如 cmd.exe /c del d:\test.txt、format c:）。
• Windows 永遠隱藏 .shs 副檔名，即使關閉「隱藏已知副檔名」也看不見。
• 利用雙重副檔名：QQ號碼放送.txt.shs 顯示為 QQ號碼放送.txt。
• 圖示酷似記事本，降低警覺性。
• 殺毒軟體不視為病毒（非執行檔、無惡意碼特徵），極易繞過防毒。
• 製作門檻極低：packager.exe → 匯入任意檔 → 編輯命令列 → 複製資料包 → 貼上桌面即成。

實測危害

雙擊 .shs 即執行內嵌命令，可刪除系統關鍵檔、格式化硬碟、下載執行惡意程式、新增管理員帳號等，完全在使用者權限下執行（若為管理員則為最高權限）。

攻擊手法三：雙重副檔名 + 空格/Unicode 控制字元偽裝

• photo.jpg .exe（中間多空格）→ 顯示為 photo.jpg。
• invoice.pdf\u202Eexe（右至左覆寫字元 U+202E）→ 顯示為 invoice.exepdf 視覺上像 PDF。
• 壓縮檔內藏惡意執行檔，解壓後自動執行（需配合自動解壓縮漏洞）。

防範對策（分層防禦）

緊急處理：已誤點擊可疑檔案

1. 立即斷網，防止資料外洩/下載二階段惡意碼。
2. 開啟工作管理員，結束可疑程序（wscript.exe、cmd.exe、packager.exe）。
3. 全盤掃毒（離線模式最佳）。
4. 檢查帳號異常（新增使用者、排程任務、啟動項、服務）。
5. 若系統檔受損，執行 sfc /scannow 修復。
6. 變更所有重要密碼（網銀、郵件、VPN、AD）。

總結

偽裝 .txt 攻擊利用 Windows 介面呈現與檔案關聯機制弱點，技術門檻低、殺毒軟體難查殺、危害極大。「關閉隱藏副檔名 + 以記事本開啟未知檔案 + 端點行為防護」是成本最低、效果最好的基礎防禦組合。企業環境務必部署附件過濾與 AppLocker 封鎖高風險副檔名執行。