攻擊者可透過修改登錄檔案關聯，將任意副檔名 (如 .gif、.jpg、.txt) 關聯至執行檔處理器，使惡意程式偽裝成圖片/文件誘導使用者雙擊執行。本文解析技術原理並提供防範對策。

攻擊原理：檔案關聯劫持

Windows 依據 HKCR\.副檔名 → HKCR\ProgID → HKCR\ProgID\shell\open\command 決定開啟動作。攻擊者修改兩個關鍵值：

; 將 .gif 關聯至 exefile (應用程式)
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.gif]
"Content Type"="application/x-msdownload"
@="exefile"

; 恢復正常
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.gif]
"Content Type"="image/gif"
@="giffile"

批次檔自動化修改：

@echo off
reg add "HKLM\SOFTWARE\Classes\.gif" /v "Content Type" /t REG_SZ /d "application/x-msdownload" /f
reg add "HKLM\SOFTWARE\Classes\.gif" /ve /t REG_SZ /d "exefile" /f

受害者雙擊 malware.gif 實際執行其中嵌入的 PE 程式碼 (因註冊表指向 exefile 處理器)。

擴大攻擊面

• 可劫持 .jpg、.png、.pdf、.txt、.mp3、.mp4 等常見副檔名。
• 結合社交工程：命名為「薪資單.gif」、「會議照片.jpg」誘導開啟。
• 繞過郵件/網頁附件檔案類型過濾 (僅檢查副檔名)。

防範與偵測

1. 啟用「顯示副檔名」：資料夾選項 → 取消「隱藏已知副檔名」，malware.gif.exe 將顯示完整副檔名。
2. 檔案關聯完整性監控：部署 Sysmon Event ID 12/13/14 監控登錄修改，或使用 Tripwire/OSSEC 監控 HKCR 關鍵分支。
3. 應用程式白名單 (AppLocker/WDAC)：僅允許簽章信任程式執行，即使關聯被劫持，惡意碼也無法通過簽章驗證。
4. 防毒/EDR 行為分析：偵測非預期程式執行 (如 rundll32.exe 執行 .gif)、進程樹異常。
5. 使用者教育：不開啟不明來源附件，懷疑檔案上傳 VirusTotal / 混合分析沙箱檢測。
6. 瀏覽器/郵件用戶端安全設定：禁止自動開啟附件、顯示真實副檔名、封鎖高風險副檔名 (.exe, .scr, .bat, .cmd, .vbs, .js, .jar 等)。

應急處理

發現檔案關聯異常：

1. 安全模式啟動。
2. 匯入正常檔案關聯 .reg 檔 (可從乾淨系統匯出備份)。
3. 執行 assoc .exe=exefile、assoc .gif=giffile 等恢復指令。
4. 全盤掃描清除惡意程式本體。

檔案關聯劫持屬於「活著就能用」的舊技術新用，核心在於利用使用者對副檔名的信任。最有效防禦是「可見副檔名 + 執行白名單 + 行為偵測」三層疊加。