TXT 檔案偽裝攻擊揭秘：識別與防範惡意 .txt 檔

副檔名 .txt 讓人聯想到純文字、無害，但駭客常利用 Windows 隱藏副檔名機制，將惡意 HTML/腳本偽裝成文字檔。一旦雙擊開啟，實際執行的是 HTML 檔，配合 Windows Scripting Host (WSH) 即可執行格式化硬碟、竊取資料等破壞行為。

攻擊原理剖析

1. 副檔名偽裝：真實檔名為 QQ靓號放送.txt.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}，該 CLSID 代表 HTML 檔案關聯，但資源管理器只顯示 .txt。
2. 繞過記事本：雙擊時系統依真實副檔名啟動 mshtml.dll 解析 HTML，而非 Notepad。
3. WSH 執行惡意碼：HTML 內嵌 <script language="VBScript">，透過 WScript.Shell 物件執行 format.com、刪除檔案、修改登錄等指令。

辨識徵兆

• 圖示非記事本預設圖示，而是「未知檔案類型」通用圖示。
• 在「按網頁方式」檢視或資料夾選項「顯示副檔名」啟用時，可見完整副檔名。
• 檔案大小異常（純文字通常 < 1 KB，惡意檔常含腳本較大）。

防護措施

1. 顯示副檔名：資料夾選項 → 檢視 → 取消「隱藏已知檔案類型的副檔名」。
2. 以記事本開啟：右鍵選擇「用記事本開啟」，強制以純文字模式讀取。
3. 關閉 WSH：若不需腳本功能，可執行 regsvr32 /u vbscript.dll jscript.dll 取消註冊。
4. 郵件附件掃毒：使用防毒軟體即時掃描，勿直接雙擊未預期附件。

養成「不信任、不直點、先檢視」習慣，才能有效擋下偽裝成 .txt 的惡意程式碼。