¿Qué es el formato de archivo SHS?
Un archivo .shs contiene un fragmento de un documento de Microsoft Word o Excel en forma de objeto incrustado, creado y utilizado por sistemas Windows antiguos. El formato se basa en el contenedor binario de archivos compuestos OLE2 (la misma estructura binaria utilizada por los archivos heredados .doc y .xls), identificado por los bytes mágicos D0 CF 11 E0 en el desplazamiento 0. El componente de Windows responsable de leer y escribir archivos .shs es shscrap.dll, el controlador de objetos de recorte de Shell. Este controlador se incluyó en Windows 95 hasta Windows XP antes del SP2; Microsoft lo desactivó por defecto en Windows XP SP2 (2004) y lo eliminó de versiones posteriores, haciendo que el formato quedara efectivamente obsoleto.
Los archivos .shs se generan al arrastrar y soltar un fragmento seleccionado de un documento de Office en el escritorio o en una carpeta. El controlador de objetos de recorte de Shell (shscrap) captura la selección y la guarda como un objeto de recorte que luego puede arrastrarse de nuevo a un documento compatible. Fundamentalmente, Windows ocultaba la extensión .shs por defecto, independientemente de la configuración de carpetas del usuario; a diferencia de la mayoría de los tipos de archivos, activar «mostrar extensiones de archivo» no la revelaba. Un usuario no podía abrir un archivo .shs directamente; solo podía pegarse en un documento abierto. Debido a que .shs es un formato ejecutable, fue explotado activamente como vector de distribución de malware: los atacantes disfrazaban ejecutables como archivos de recorte de apariencia inofensiva cuyas extensiones ocultas dificultaban la detección.
Seguridad y protección
RIESGO: HIGHSHS es una extensión de malware reconocida. Debido a que Windows siempre ocultaba el sufijo .shs, los atacantes disfrazaban ejecutables como archivos inocentes (por ejemplo, «reporte.doc.shs»), y al hacer doble clic se ejecutaba el código incrustado; la técnica detrás del gusano Stages / Life Stages de la era del 2000. Microsoft desactivó el formato a partir de Windows XP SP2 por esta razón. Regla: nunca haga doble clic ni «ejecute» un .shs que haya recibido, especialmente por correo electrónico. Si debe examinar uno, hágalo en una máquina virtual aislada y solo inspeccione los flujos OLE con un visor forense (7-Zip / visor de almacenamiento estructurado), nunca lo ejecute.
Detalles del formato
en pocas palabrasProgramas que abren archivos SHS
Windows3 apps
Windows 9x / 2000 / XP pre-SP2 (legacy, in a VM)
Integrado En un sistema heredado con shscrap.dll registrado, el doble clic vuelve a insertar el recorte en su aplicación de origen; solo es seguro dentro de una máquina virtual aislada con un archivo que se SEPA que es bueno.
7-Zip (inspect only)
Código abierto Abra el .shs como un archivo compuesto OLE para ver los flujos internos SIN ejecutarlo; para inspección forense, no para apertura normal.
SSView / OLE viewer (forensic)
Gratis Utilice un visor de almacenamiento estructurado (por ejemplo, MiTeC Structured Storage Viewer) para examinar los flujos OLE de forma segura y extraer datos incrustados. Detalles técnicos
especificación profunda| Formato de contenedor | OLE2 Compound File Binary (CFB): el mismo contenedor de bajo nivel utilizado por los formatos de Office heredados |
| Bytes mágicos | D0 CF 11 E0 A1 B1 1A E1 en el desplazamiento 0 (firma estándar OLE2 CFB) |
| Desarrollador | Microsoft |
| Tipo MIME | application/octet-stream |
| Componente controlador | shscrap.dll - Controlador de objetos de recorte de Shell de Windows; registraba la extensión de shell .shs en el SO |
| Soporte de SO | Windows 95 hasta Windows XP antes del SP2; desactivado por defecto desde XP SP2 (2004), ausente en Vista y posteriores |
| Método de creación | Arrastrar y soltar un fragmento de documento seleccionado en el escritorio o en una carpeta del Explorador |
| Método de uso | Arrastrar y soltar solo de vuelta en un documento de Office compatible; no se admitía la acción de apertura directa o doble clic |
| Visibilidad de la extensión | Oculta forzosamente por el shell independientemente de la configuración de carpeta «mostrar extensiones de archivo» del usuario; un comportamiento único de .shs |
| Tipo de contenido | Objeto OLE serializado que incrusta un fragmento de documento (texto, celdas de hoja de cálculo u otro contenido compatible con OLE) |
| Plataforma | Solo Windows; nunca se proporcionó soporte para macOS o Linux |
| Riesgo de seguridad | La capacidad de carga útil ejecutable combinada con la ocultación forzada de la extensión convirtió al .shs en un vector documentado de distribución de malware y virus |
| Estructura interna | Utiliza flujos de documentos compuestos OLE2 internamente; los datos de recorte se almacenan en flujos con nombre dentro del contenedor CFB |
| Inspección forense | 7-Zip y visores OLE como SSView pueden abrir archivos .shs para inspeccionar los flujos internos sin ejecutarlos |
| Lanzado | Windows 95 (1995); shscrap.dll removed/disabled by default from Windows XP SP2 (2004) onward - format effectively dead |
Conversiones de SHS
Preguntas y respuestas de la comunidad
preguntado por usuariosAún no hay preguntas; sea el primero en preguntar sobre los archivos SHS.
