Pourquoi
mshta.exe est un exécutable légitime de Windows utilisé pour exécuter des fichiers
HTA (HTML Application). Cependant, il est souvent
utilisé de manière malveillante par les attaquants pour exécuter du code arbitraire, contourner les protections, ou télécharger des charges virales (
payloads) depuis Internet.
Il s'agit d'un
LOLBIN (Living-off-the-Land Binary), c’est-à-dire un outil système que les attaquants peuvent détourner à des fins malveillantes.
🔍 Exemples d’usage malveillant de
- Exécution de code à distance :
- Utilisation dans une macro Excel malveillante pour lancer un script.
🛡️ Ce que fait SentinelOne
SentinelOne repose sur une
analyse comportementale et des
signatures d’attaques connues (TTP - MITRE ATT&CK). Il peut détecter mshta.exe si :
- Il est lancé par un programme non habituel (ex : winword.exe, excel.exe)
- Il utilise des arguments en ligne de commande suspects
- Il se connecte à Internet ou déclenche d'autres processus suspects (powershell.exe, cmd.exe, etc.)
- Il essaie de charger un fichier à distance ou d’exécuter un script embarqué