前言

TXT 檔案看似無害，實則可能偽裝惡意程式碼。本文揭露兩種常見偽裝手法與識別防範方法。

攻擊手法一：冒充 .txt 實為 .html (CLSID 偽裝)

• 原理： 真實副檔名為 .{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B} (HTML 檔案關聯 CLSID)，雙擊觸發 WScript 執行腳本。
• 行為： 背景格式化 D 槽，彈出「Windows 正在配置系統」對話框欺騙使用者。
• 識別： 圖示非記事本圖示，為未定義檔案類型圖示；「網頁檢視」模式下左側顯示完整檔名 (含 CLSID)。
• 防範： 下載後右鍵選「用記事本開啟」查看內容，勿直接雙擊。

攻擊手法二：.shs 碎片物件 (Shell Scrap Object) 偽裝

• 特性： 副檔名 .shs 永遠隱藏 (即使取消「隱藏已知副檔名」)；圖示酷似記事本；本身非執行檔，殺毒軟體不報毒；易製作 (5 分鐘上手)。
• 危害示範： 利用「物件包裝程式」 (packager.exe) 內嵌命令 cmd.exe /c del d:\test.txt，雙擊即刪除檔案；若換成 format c: 則毀滅性極大。

綜合防範建議

1. 開啟「顯示所有副檔名」並留意圖示異常。
2. 收到可疑附件，先用記事本開啟檢視真實內容。
3. 企業層面可透過群組原則封鎖 .shs/.lnk 等高風險副檔名執行。
4. 保持防毒軟體與系統修補程式最新。

結語

「副檔名即檔案類型」的迷思最危險。養成「不輕信、先驗證、用記事本」習慣，是防範偽裝檔案的最佳防線。