SHS-bestand

Een .shs-bestand bevat een fragment van een Microsoft Word- of Excel-document in de vorm van een ingebed object, gemaakt en gebruikt door oudere Windows-systemen. Het formaat is gebouwd op de OLE2 Compound File Binary-container - dezelfde binaire structuur die wordt gebruikt door verouderde .doc en .xls bestanden - herkenbaar aan de magic bytes D0 CF 11 E0 op offset 0. De Windows-component die verantwoordelijk is voor het lezen en schrijven van .shs-bestanden is shscrap.dll, de Shell Scrap Object Handler. Deze handler werd geleverd bij Windows 95 tot en met Windows XP vóór SP2; Microsoft heeft deze standaard uitgeschakeld in Windows XP SP2 (2004) en verwijderd uit latere versies, waardoor het formaat effectief verouderd is.

.shs-bestanden worden gegenereerd door een geselecteerd fragment van een Office-document naar het bureaublad of naar een map te slepen. De Shell Scrap Object Handler (shscrap) legt de selectie vast en slaat deze op als een scrap-object dat later weer in een compatibel document kan worden gesleept. Cruciaal is dat Windows de extensie .shs standaard verborg, ongeacht de mapinstellingen van de gebruiker - in tegenstelling tot de meeste bestandstypen onthulde het inschakelen van „bestandsextensies weergeven” deze niet. Een gebruiker kon een .shs-bestand niet rechtstreeks openen; het kon alleen in een open document worden geplakt. Omdat .shs een uitvoerbaar formaat is, werd het actief misbruikt als kanaal voor malware: aanvallers vermomden uitvoerbare bestanden als onschuldig ogende scrap-bestanden waarvan de verborgen extensies detectie bemoeilijkten.