小心三類偽裝 TXT 檔案：隱藏 HTML、SHS 碎片物件與偽裝 Outlook 附件

前言

收到附檔名為 .txt 的檔案不代表安全。攻擊者利用 Windows 檔案關聯機制，將惡意程式碼偽裝成文字檔，誘騙使用者雙擊執行。本文揭露三種常見偽裝手法與防範對策。

一、隱藏 HTML 副檔名的 TXT 檔

偽裝原理

真實檔名為 QQ靚號放送.txt.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}，該 CLSID 代表 HTML 檔案關聯。Windows 隱藏該副檔名，使用者僅見 .txt。雙擊時實以 HTML 方式執行，內嵌 WScript 腳本可執行任意命令（如格式化硬碟），並彈出偽裝系統訊息對話框欺騙使用者。

識別與防範

1. 圖示不同：偽裝檔顯示「未定義檔案類型」圖示，非記事本圖示。
2. 資料夾「Web 檢視」模式：左側資訊欄會顯示完整檔名（含隱藏副檔名）。
3. 安全開啟：右鍵選擇「用記事本開啟」，不會觸發 HTML/腳本執行。

二、SHS 碎片物件檔

偽裝原理

利用 OLE 物件封裝技術，將命令內嵌於物件封裝程式建立的檔案中。複製貼上至硬碟時產生 .SHS 檔，雙擊即執行內部命令。預設隱藏副檔名且圖示酷似文字檔，極具欺騙性。

防範方法

（1）「野蠻」法：移除檔案關聯

• 刪除 HKEY_CLASSES_ROOT\.shs 預設值 ShellScrap，雙擊將彈出「開啟方式」對話框，選擇記事本即安全。
• 更徹底：刪除 HKEY_CLASSES_ROOT\ShellScrap\shell\open\command 關聯，雙擊無反應。

（2）「文明」法：顯示副檔名與更換圖示

• 刪除 HKEY_CLASSES_ROOT\ShellScrap\NeverShowExt，讓 .SHS 副檔名顯示。
• 資源管理員→「工具」→「資料夾選項」→「檔案類型」→找「碎片物件」→「編輯」→「變更圖示」→選擇 C:\Windows\SYSTEM\Pifmgr.dll 中獨特圖示。

（3）其他防護

• 防毒軟體掃描設定加入 .SHS 副檔名。
• 透過群組原則或登錄禁止「碎片物件」與「文件捷徑」檔案執行。

三、偽裝 Outlook 郵件附件

偽裝製作過程

1. Outlook 2000 新增郵件→「格式」→「豐富文字」→「插入」→「物件」→「由檔案建立」選 notepad.exe。
2. 右鍵物件→「編輯封裝」→「插入圖示」→選 SHELL32.DLL 中文字檔圖示→「編輯」→「標籤」命名為 hello.txt。
3. 更新後郵件顯示 hello.txt，實為 notepad.exe，雙擊即執行程式。

防範

• Outlook 會提示「部分物件可能攜帶病毒」，嚴格選擇「否」。
• 不輕信附件圖示與檔名，收到可疑附件先以文字編輯器開啟檢視內容。

總結防護原則

1. 設定資料夾選項「顯示所有副檔名」。
2. 不直接雙擊附件，改用右鍵「用記事本開啟」或拖曳至文字編輯器。
3. 保持防毒軟體即時掃描與病毒碼更新。
4. 註冊表關聯異常時，善用 Regedit 修復或移除高風險檔案類型關聯。