Che cos'è il formato di file SHS?
Un file .shs contiene un frammento di un documento Microsoft Word o Excel sotto forma di oggetto incorporato, creato e utilizzato dai vecchi sistemi Windows. Il formato è basato sul contenitore OLE2 Compound File Binary - la stessa struttura binaria utilizzata dai file legacy .doc e .xls - identificata dai magic bytes D0 CF 11 E0 all'offset 0. Il componente di Windows responsabile della lettura e scrittura dei file .shs è shscrap.dll, lo Shell Scrap Object Handler. Questo gestore è stato incluso in Windows 95 fino a Windows XP prima del SP2; Microsoft lo ha disabilitato per impostazione predefinita in Windows XP SP2 (2004) e rimosso dalle versioni successive, rendendo il formato effettivamente obsoleto.
I file .shs vengono generati trascinando e rilasciando un frammento selezionato di un documento Office sul Desktop o in una cartella. Lo Shell Scrap Object Handler (shscrap) cattura la selezione e la salva come un oggetto scrap che può essere successivamente trascinato nuovamente in un documento compatibile. Aspetto critico: Windows nascondeva l'estensione .shs per impostazione predefinita indipendentemente dalle impostazioni delle cartelle dell'utente - a differenza della maggior parte dei tipi di file, l'attivazione di «mostra estensioni file» non la rivelava. Un utente non poteva aprire direttamente un file .shs; poteva solo essere incollato in un documento aperto. Poiché .shs è un formato eseguibile, è stato attivamente sfruttato come vettore di distribuzione di malware: gli aggressori mascheravano gli eseguibili come file scrap dall'aspetto innocuo le cui estensioni nascoste rendevano difficile il rilevamento.
Sicurezza e incolumità
RISCHIO: HIGHSHS è un'estensione riconosciuta per il malware. Poiché Windows nascondeva sempre il suffisso .shs, gli aggressori mascheravano gli eseguibili come file innocenti (es. «report.doc.shs») e il doppio clic eseguiva il codice incorporato - la tecnica alla base del worm Stages / Life Stages dell'era 2000. Microsoft ha disabilitato il formato da Windows XP SP2 per questo motivo. Regola: non fare mai doppio clic o «eseguire» un .shs ricevuto, specialmente via e-mail. Se devi esaminarne uno, fallo su una VM isolata e ispeziona solo i flussi OLE con un visualizzatore forense (7-Zip / visualizzatore structured-storage) - non eseguirlo mai.
Dettagli del formato
in sintesiProgrammi che aprono file SHS
Windows3 apps
Windows 9x / 2000 / XP pre-SP2 (legacy, in a VM)
Integrato Su un sistema legacy con shscrap.dll registrato, il doppio clic reinserisce lo scrap nell'app di origine - sicuro solo all'interno di una VM isolata con un file di provenienza CERTA.
7-Zip (inspect only)
Open-source Apri il file .shs come un file composto OLE per visualizzare i flussi interni SENZA eseguirlo - per ispezione forense, non per apertura normale.
SSView / OLE viewer (forensic)
Gratuito Usa un visualizzatore structured-storage (es. MiTeC Structured Storage Viewer) per sfogliare i flussi OLE in sicurezza ed estrarre i dati incorporati. Dettagli tecnici
specifiche approfondite| Formato contenitore | OLE2 Compound File Binary (CFB) - lo stesso contenitore di basso livello utilizzato dai formati Office legacy |
| Magic bytes | D0 CF 11 E0 A1 B1 1A E1 all'offset 0 (firma standard OLE2 CFB) |
| Sviluppatore | Microsoft |
| Tipo MIME | application/octet-stream |
| Componente gestore | shscrap.dll - Windows Shell Scrap Object Handler; registrava l'estensione shell .shs nel sistema operativo |
| Supporto OS | Da Windows 95 a Windows XP pre-SP2; disabilitato per impostazione predefinita da XP SP2 (2004), assente da Vista e successivi |
| Metodo di creazione | Trascinamento (drag-and-drop) di un frammento di documento selezionato sul Desktop o in una cartella di Explorer |
| Metodo di utilizzo | Trascinamento solo all'interno di un documento Office compatibile; nessuna azione di apertura diretta o doppio clic era supportata |
| Visibilità estensione | Nascosta forzatamente dalla shell indipendentemente dall'impostazione «mostra estensioni file» dell'utente - un comportamento unico per .shs |
| Tipo di contenuto | Oggetto OLE serializzato che incorpora un frammento di documento (testo, celle di fogli di calcolo o altro contenuto compatibile con OLE) |
| Piattaforma | Solo Windows; non è mai stato fornito supporto per macOS o Linux |
| Rischio di sicurezza | La capacità di payload eseguibile combinata con l'occultamento forzato dell'estensione ha reso .shs un vettore documentato per la distribuzione di malware e virus |
| Struttura interna | Utilizza internamente flussi di documenti composti OLE2; i dati scrap sono memorizzati in flussi denominati all'interno del contenitore CFB |
| Ispezione forense | 7-Zip e i visualizzatori OLE come SSView possono aprire i file .shs per ispezionare i flussi interni senza eseguirli |
| Rilasciato | Windows 95 (1995); shscrap.dll removed/disabled by default from Windows XP SP2 (2004) onward - format effectively dead |
Conversioni SHS
Domande e risposte della community
chiesto dagli utentiAncora nessuna domanda - sii il primo a chiedere informazioni sui file SHS.
