Копируй, вставляй, теряй деньги. Как старая Windows-утилита помогает грабить владельцев криптовалюты
NewsMakerНезаметный запуск сценария может стать началом большой проблемы.
Хакеры всё чаще используют старую утилиту Windows MSHTA как удобный способ запускать вредоносные сценарии на уже заражённых компьютерах. Инструмент появился ещё в эпоху Internet Explorer, но до сих пор входит в состав Windows и даёт злоумышленникам доступ к возможностям, которые давно не должны работать без жёстких ограничений.
MSHTA представили в 1999 году для запуска HTA-приложений, собранных на HTML, VBScript или JScript. Internet Explorer уже ушёл в прошлое, однако mshta.exe остаётся на системах Windows и не получает современных защитных механизмов браузерной песочницы. По данным Bitdefender, в последние месяцы утилиту активно применяют в цепочках атак для доставки вредоносного ПО, кражи данных и запуска удалённых сценариев.
Особенно часто MSHTA встречается в атаках по схеме ClickFix , где жертву убеждают скопировать и выполнить команду под видом проверки, установки бесплатного контента или доступа к нужному файлу. Такой подход встречался в фишинговых сообщениях Discord и на сайтах, маскирующихся под обычные сервисы. Иногда домены выглядят почти легитимно, например, с названиями вроде «google-services» или «memory-scanner», а подозрение вызывает только зона.cc.
Bitdefender связывает использование MSHTA с распространением инфостилеров LummaStealer и Amatera через загрузчик CountLoader. Ещё одна кампания применяла Emmenhtal Loader, который через MSHTA получал и запускал удалённую HTA-нагрузку, после чего разворачивал следующие этапы заражения. Утилита также встречалась в цепочках ClipBanker , подменяющего криптовалютные адреса в буфере обмена, и в атаках, связанных с PurpleFox.
Не каждое обращение к MSHTA указывает на взлом, так как старое корпоративное ПО иногда всё ещё зависит от этой утилиты. Но Bitdefender считает MSHTA лишней поверхностью атаки и советует администраторам по возможности отказаться от неё в рабочих процессах.
Полное удаление MSHTA не решит проблему само по себе. Многие такие атаки держатся на социальной инженерии, запуске скриптов, злоупотреблении командной строкой и загрузке следующих компонентов уже после первого действия пользователя. Поэтому защита должна закрывать не один файл, а всю цепочку, от ограничения опасных сценариев до поведенческого анализа во время выполнения.
Хакеры всё чаще используют старую утилиту Windows MSHTA как удобный способ запускать вредоносные сценарии на уже заражённых компьютерах. Инструмент появился ещё в эпоху Internet Explorer, но до сих пор входит в состав Windows и даёт злоумышленникам доступ к возможностям, которые давно не должны работать без жёстких ограничений.
MSHTA представили в 1999 году для запуска HTA-приложений, собранных на HTML, VBScript или JScript. Internet Explorer уже ушёл в прошлое, однако mshta.exe остаётся на системах Windows и не получает современных защитных механизмов браузерной песочницы. По данным Bitdefender, в последние месяцы утилиту активно применяют в цепочках атак для доставки вредоносного ПО, кражи данных и запуска удалённых сценариев.
Особенно часто MSHTA встречается в атаках по схеме ClickFix , где жертву убеждают скопировать и выполнить команду под видом проверки, установки бесплатного контента или доступа к нужному файлу. Такой подход встречался в фишинговых сообщениях Discord и на сайтах, маскирующихся под обычные сервисы. Иногда домены выглядят почти легитимно, например, с названиями вроде «google-services» или «memory-scanner», а подозрение вызывает только зона.cc.
Bitdefender связывает использование MSHTA с распространением инфостилеров LummaStealer и Amatera через загрузчик CountLoader. Ещё одна кампания применяла Emmenhtal Loader, который через MSHTA получал и запускал удалённую HTA-нагрузку, после чего разворачивал следующие этапы заражения. Утилита также встречалась в цепочках ClipBanker , подменяющего криптовалютные адреса в буфере обмена, и в атаках, связанных с PurpleFox.
Не каждое обращение к MSHTA указывает на взлом, так как старое корпоративное ПО иногда всё ещё зависит от этой утилиты. Но Bitdefender считает MSHTA лишней поверхностью атаки и советует администраторам по возможности отказаться от неё в рабочих процессах.
Полное удаление MSHTA не решит проблему само по себе. Многие такие атаки держатся на социальной инженерии, запуске скриптов, злоупотреблении командной строкой и загрузке следующих компонентов уже после первого действия пользователя. Поэтому защита должна закрывать не один файл, а всю цепочку, от ограничения опасных сценариев до поведенческого анализа во время выполнения.