Jak stare narzędzie Windows stało się ulubionym nośnikiem malware? Ataki MSHTA w 2026 roku

Narzędzie MSHTA, które od lat 90. jest częścią systemu Windows, przeżywa swój drugi, niebezpieczny żywot. Microsoft zaprojektował je do uruchamiania aplikacji HTML (plików HTA), ale z najnowszych analiz wynika, że właśnie ta funkcjonalność staje się ulubioną bronią cyberprzestępców. Bitdefender alarmuje o lawinowym wzroście nadużyć MSHTA w 2026 roku. Narzędzie to pozwala atakującym na ciche dostarczanie złośliwego oprogramowania bez wzbudzania podejrzeń systemów zabezpieczeń. Problem dotyczy zarówno zwykłych użytkowników, którzy dają się nabrać na socjotechnikę, jak i firm, które wciąż nie zablokowały dostępu do tego legacy komponentu.

Jak działa atak z wykorzystaniem MSHTA?

MSHTA jest tak zwanym LOLBINem (Living-off-the-Land Binary), czyli legalnym narzędziem Windows, które atakujący wykorzystują zgodnie z jego przeznaczeniem, ale do niecnych celów. Mechanizm jest prosty: ofiara, poprzez socjotechnikę, uruchamia plik HTA. Ponieważ MSHTA jest podpisany przez Microsoft, systemy bezpieczeństwa traktują go jako zaufany proces. W pamięci komputera wykonywany jest natomiast złośliwy kod VBScript lub JavaScript pobrany z serwera atakujących. Jak opisują badacze, MSHTA zapewnia atakującym wbudowane i podpisane przez Microsoft narzędzie, które może pobierać i wykonywać zdalne skrypty w początkowych lub pośrednich etapach łańcucha infekcji.

Infekcja zazwyczaj zaczyna się od wiadomości na komunikatorze, fałszywego postu w mediach społecznościowych lub strony z pirackim oprogramowaniem. Ofiara, która kliknie w link lub pobierze plik, uruchamia łańcuch prowadzący cyberprzestępców do jej systemu.

Jakie zagrożenia są przenoszone przez tę technikę?

Z analiz Bitdefendera wynika, że za pomocą MSHTA dystrybuowane są co najmniej trzy rodzaje zagrożeń:

• Stealery – czyli oprogramowanie kradnące dane, takie jak Lumma i Amater, które wykradają hasła, pliki cookie i dane logowania.
• ClipBanker – złośliwe narzędzie podmieniające adresy portfeli kryptowalut w schowku, przez co ofiara wysyła środki na konto przestępców.
• PurpleFox – zaawansowany i trwały malware aktywny od 2018 roku, który ukrywa się w systemie i służy do dalszych ataków.

Co istotne, w żadnym z tych przypadków nie mamy do czynienia z nowym, nieznanym exploitowaniem. To klasyczne socjotechniki: oferowanie darmowego oprogramowania, fałszywe strony z weryfikacją człowieczeństwa czy bezpośrednie phishing w Discordzie. Skuteczność tych metod wciąż jest wysoka, a atakującym wystarczy jeden błąd użytkownika.

Jak się bronić? Praktyczne kroki

Bitdefender wskazuje, że główną obroną przed tego typu atakami jest świadomość użytkowników. Aby skutecznie przeciwdziałać zagrożeniom związanym z MSHTA, warto wdrożyć następujące zasady:

• Edukacja zespołu i domowników – kluczowe jest, aby użytkownicy nie uruchamiali nieznanych plików, nie korzystali z pirackiego oprogramowania i nie wklejali do wiersza poleceń komend otrzymanych od obcych.
• Blokada MSHTA w firmie – organizacje powinny domyślnie blokować dostęp do tego narzędzia, jeśli nie jest ono niezbędne do działania krytycznych aplikacji. Jak zaznacza analityk Bitdefendera Silviu Stahie: Blokowanie wszystkich tych legacy binarek powinno być domyślnym stanowiskiem.
• Ochrona wielowarstwowa – zabezpieczenia powinny obejmować redukcję powierzchni ataku, wykrywanie przed wykonaniem oraz blokowanie w czasie rzeczywistym na poziomie behavioralnym.
• Aktualizacje i monitoring – regularne łatki systemowe i monitoring odwołań do MSHTA w sieci mogą pomóc w szybkim wykryciu anomalii.

W przypadku firm administratorzy powinni rozważyć politykę allowlistingu aplikacji, która zezwoli na działanie tylko zatwierdzonych programów. Dziś walka z malware często nie wymaga skomplikowanych narzędzi – wystarczy zdyscyplinowanie użytkowników i odpowiednia konfiguracja systemu. To inwestycja, która zwraca się wielokrotnie, gdy zatrzyma atak zanim ten zdąży wyrządzić szkody.