前言

一種名為「碎片物件」（副檔名 .SHS）的檔案，可偽裝成純文字檔（.txt）透過郵件附件接近受害者，輕易破壞系統。其可怕之處在於三大隱蔽機制。

三大隱蔽機制

1. 圖示極似記事本： Windows 預設圖示與文字檔幾乎相同。
2. 副檔名永久隱藏： 即使在「資料夾選項」勾選「顯示副檔名」，.SHS 仍隱藏。因 Windows 支援雙重副檔名，iloveyou.txt.shs 僅顯示 iloveyou.txt。
3. 製造門檻極低： 半小時可學會，無需程式設計能力（Format c: 人人會打）。

技術背景

• 1992 年 Windows 3.1 引入 OLE（物件連結與嵌入），允許文件嵌入其他文件/圖片/聲音。
• 為方便嵌入物件跨文件複製/共享，Windows 採用 Shell Scrap Object（SHS）技術，將嵌入物件封裝為「碎片物件」檔案。

實作示範：建立格式化磁碟的惡意 .SHS 檔

1. 建立僅含一空白字元的文字檔。
2. 拖入記事本或「插入 → 物件 → 從檔案建立」嵌入。
3. 選取嵌入物件圖示 → 「編輯 → 套件物件 → 編輯套件」。
4. 「編輯 → 命令列」輸入：Format.com a: /autotest。
5. 「外觀 → 插入圖示」選一圖示（確認警告）。
6. 「編輯 → 磁碟區標籤」命名（取代原檔名）→ 「檔案 → 更新」→ 關閉。
7. 將桌面產生的「碎片」檔更名為 iloveyou.txt，作為附件寄出。

受害者以為是文字檔開啟（或點擊文件內嵌入物件），即觸發格式化指令（若磁碟機被佔用會顯示「A: 正被其他程序使用，格式化中止」）。

防治措施

1. 登錄檔顯示副檔名： 刪除 HKEY_CLASSES_ROOT\ShellScrap\NeverShowExt 鍵值，即可顯示 .SHS。
2. 更換預設圖示： 資料夾選項 → 檔案類型 → 找「碎片物件」→ 編輯 → 更改圖示 → 選 C:\WINDOWS\SYSTEM\Pifmgr.dll 中炸彈圖示（第一排最後一個）。

同類威脅：.SHB（文件捷徑）

• 病毒可建立指向含惡意嵌入物件文件的捷徑，點擊同樣觸發。
• .SHB 副檔名同樣無條件隱藏，控制鍵值：HKEY_CLASSES_ROOT\DocShortcut\NeverShowExt，刪除即可顯示。

更多防護手段

1. 掃毒軟體指定掃描 .SHS、.SHB 檔案（若預設僅掃描可執行檔）。
2. 透過群組原則或檔案類型關聯，禁止 .SHS、.SHB 檔案執行/開啟。

結語

.SHS/.SHB 利用 Windows 合法功能與介面缺陷偽裝成無害文字檔，是典型的「社交工程 + 技術漏洞」結合攻擊。修正登錄檔顯示真實副檔名、更換警示圖示、禁止執行，三招合併可有效化解。