Was ist das SHS-Dateiformat?
Eine .shs-Datei enthält ein Fragment eines Microsoft Word- oder Excel-Dokuments in Form eines eingebetteten Objekts, das von älteren Windows-Systemen erstellt und verwendet wurde. Das Format basiert auf dem OLE2 Compound File Binary-Container - derselben Binärstruktur, die von älteren .doc- und .xls-Dateien verwendet wird - identifiziert durch die Magic-Bytes D0 CF 11 E0 an Offset 0. Die Windows-Komponente, die für das Lesen und Schreiben von .shs-Dateien zuständig ist, ist shscrap.dll, der Shell-Scrap-Objekt-Handler. Dieser Handler wurde mit Windows 95 bis Windows XP vor SP2 ausgeliefert; Microsoft deaktivierte ihn standardmäßig in Windows XP SP2 (2004) und entfernte ihn aus späteren Versionen, wodurch das Format praktisch veraltet wurde.
.shs-Dateien entstehen durch Drag-and-Drop eines ausgewählten Fragments aus einem Office-Dokument auf den Desktop oder in einen Ordner. Der Shell-Scrap-Objekt-Handler (shscrap) erfässt die Auswahl und speichert sie als Scrap-Objekt, das später wieder in ein kompatibles Dokument gezogen werden kann. Kritisch ist dabei, dass Windows die .shs-Erweiterung standardmäßig verbarg - unabhängig von den Ordnereinstellungen des Benutzers - anders als bei den meisten Dateitypen wurde die Erweiterung auch durch das Aktivieren von „Dateinamenerweiterungen anzeigen“ nicht sichtbar. Ein Benutzer konnte eine .shs-Datei nicht direkt öffnen; sie konnte nur in ein geöffnetes Dokument eingefügt werden. Da .shs ein ausführbares Format ist, wurde es aktiv als Malware-Verbreitungsweg ausgenutzt: Angreifer tarnten ausführbare Dateien als harmlos aussehende Scrap-Dateien, deren versteckte Erweiterungen die Erkennung erschwerten.
Sicherheit
RISIKO: HIGHSHS ist eine bekannte Malware-Erweiterung. Da Windows das .shs-Suffix stets verbarg, tarnten Angreifer ausführbare Dateien als harmlose Dateien (z. B. „report.doc.shs“), und ein Doppelklick führte eingebetteten Code aus - die Technik hinter dem Stages-/Life-Stages-Wurm aus dem Jahr 2000. Microsoft hat das Format ab Windows XP SP2 aus diesem Grund deaktiviert. Regel: Doppelklicken oder „Ausführen“ Sie niemals eine .shs-Datei, die Sie erhalten haben, insbesondere per E-Mail. Wenn Sie eine untersuchen müssen, tun Sie dies auf einer isolierten VM und überprüfen Sie die OLE-Streams nur mit einem forensischen Viewer (7-Zip / Structured-Storage-Viewer) - führen Sie sie niemals aus.
Formatdetails
kurz gefasstProgramme zum Öffnen von SHS-Dateien
Windows3 apps
Windows 9x / 2000 / XP pre-SP2 (legacy, in a VM)
Integriert Auf einem Legacy-System mit registrierter shscrap.dll fügt ein Doppelklick den Scrap wieder in die Quell-App ein - nur sicher innerhalb einer isolierten VM mit einer BEKANNTERMASSEN sicheren Datei.
7-Zip (inspect only)
Open Source Öffnen Sie die .shs als OLE-Compound-Datei, um interne Streams anzuzeigen, OHNE sie auszuführen - forensische Untersuchung, kein normales Öffnen.
SSView / OLE viewer (forensic)
Kostenlos Verwenden Sie einen Structured-Storage-Viewer (z. B. MiTeC Structured Storage Viewer), um die OLE-Streams sicher zu durchsuchen und eingebettete Daten zu extrahieren. Technische Details
technische Spezifikation| Container-Format | OLE2 Compound File Binary (CFB) - derselbe Low-Level-Container wie bei Legacy-Office-Formaten |
| Magic-Bytes | D0 CF 11 E0 A1 B1 1A E1 an Offset 0 (Standard-OLE2-CFB-Signatur) |
| Entwickler | Microsoft |
| MIME-Typ | application/octet-stream |
| Handler-Komponente | shscrap.dll - Windows-Shell-Scrap-Objekt-Handler; registrierte die .shs-Shell-Erweiterung im Betriebssystem |
| Betriebssystem-Unterstützung | Windows 95 bis Windows XP vor SP2; standardmäßig deaktiviert ab XP SP2 (2004), in Vista und späteren Versionen nicht mehr enthalten |
| Erstellungsmethode | Drag-and-Drop eines ausgewählten Dokumentfragments auf den Desktop oder in einen Explorer-Ordner |
| Verwendungsmethode | Nur Drag-and-Drop zurück in ein kompatibles Office-Dokument; keine direkte Öffnen- oder Doppelklick-Aktion wurde unterstützt |
| Sichtbarkeit der Erweiterung | Vom System zwangsweise verborgen, unabhängig von der Einstellung „Dateinamenerweiterungen anzeigen“ - ein für .shs einzigartiges Verhalten |
| Inhaltstyp | Serialisiertes OLE-Objekt mit einem Dokumentfragment (Text, Tabellenzellen oder andere OLE-kompatible Inhalte) |
| Plattform | Nur Windows; macOS- oder Linux-Unterstützung wurde nie bereitgestellt |
| Sicherheitsrisiko | Die Möglichkeit, ausführbare Inhalte zu tragen, kombiniert mit der erzwungenen Erweiterungsverbergung, machte .shs zu einem dokumentierten Malware- und Virus-Verbreitungsweg |
| Interne Struktur | Verwendet intern OLE2-Compound-Document-Streams; Scrap-Daten werden in benannten Streams innerhalb des CFB-Containers gespeichert |
| Forensische Untersuchung | 7-Zip und OLE-Viewer wie SSView können .shs-Dateien öffnen, um interne Streams ohne Ausführung zu untersuchen |
| Veröffentlicht | Windows 95 (1995); shscrap.dll removed/disabled by default from Windows XP SP2 (2004) onward - format effectively dead |
SHS-Konvertierungen
Community Q&A
von Nutzern gefragtNoch keine Fragen - stellen Sie die erste Frage zu SHS-Dateien.
