تحلیل هشدار - فرآیند فرزند مشکوک Mshta

ESCU - Suspicious mshta child process - Rule

چرا این هشدار صادر می‌شود؟

ابزار mshta.exe یک ابزار قانونی ویندوز است که برای اجرای فایل‌های .HTA (HTML Application) استفاده می‌شود. با این حال، این ابزار به طور مکرر توسط مهاجمان برای اجرای کدهای مخرب در قالب تکنیک "Living off the Land" مورد سوءاستفاده قرار می‌گیرد. این هشدار زمانی فعال می‌شود که mshta.exe فرآیندهای مشکوکی مانند powershell.exe، cmd.exe، scrcons.exe یا مفسرهای اسکریپتی مانند cscript.exe را به عنوان فرزند (Child Process) ایجاد کند. این رفتار معمولاً نشان‌دهنده اجرای یک پیلود مخرب یا تلاش برای استقرار در سیستم است.

Detection: Suspicious mshta child process - Rule
Technique: T1218.005 (Signed Binary Proxy Execution: Mshta)

دسته‌بندی سناریوهای مشکوک

سناریوهای پرخطر

  • اجرای powershell.exe یا cmd.exe توسط mshta: این قوی‌ترین نشانه است که یک اسکریپت HTA سعی دارد دستورات سیستمی اجرا کرده یا بدافزار دانلود کند.
  • اتصال شبکه بلافاصله پس از ایجاد پروسه فرزند (مانند دانلود فایل توسط پاورشل).

سناریوهای متوسط

  • اجرای scrcons.exe (WMI Standard Event Consumer): نشان‌دهنده استفاده از WMI برای اجرای اسکریپت‌های مخرب از طریق mshta است.
  • اجرای مفسرهای اسکریپتی مانند cscript.exe یا wscript.exe به عنوان فرزند.

سناریوهای کم‌خطر (مثبت کاذب)

  • نرم‌افزارهای قدیمی سازمانی که از رابط‌های مبتنی بر HTA برای انجام وظایف مدیریتی استفاده می‌کنند (نیاز به بررسی و سفید‌لیست کردن).
  • ابزارهای نصب (Installers) که از HTA برای رابط کاربری خود بهره می‌برند.

ارزیابی خطر و اولویت‌بندی

برای تحلیل و اعتبارسنجی این هشدار، موارد زیر را بررسی کنید:

نشانه قطعی خطر: اجرای powershell.exe با دستورات کدگذاری شده (Encoded) یا دستورات دانلود فایل که توسط والد mshta.exe فراخوانی شده است.

الزامات داده و مدل‌ها

اطلاعات مورد نیاز

  • Endpoint Data (Process Creation)
  • Sysmon Event ID 1
  • Windows Security Event 4688

دیتامدل‌های مورد استفاده

  • Endpoint.Processes

فیلدهای کلیدی جهت بررسی

هنگام تحلیل لاگ‌های سیستمی در اسپلانک، این فیلدها حیاتی هستند:

Processes.parent_process_name
Processes.process_name
Processes.process (Command Line)
Processes.dest
Processes.user