Jak działa nowy wektor ataku FileFix
FileFix to świeży sposób obchodzenia zabezpieczeń Windows, który bazuje na znanym problemie – zaufaniu do lokalnie zapisanych plików HTML. Metoda została pokazana przez badacza bezpieczeństwa znanego jako mr.d0x, który już wcześniej ujawniał, jak użytkownicy mogą być nakłaniani do nieświadomego uruchamiania złośliwego PowerShella poprzez tzw. ClickFix. Tym razem schemat jest inny – bardziej ukryty i podstępny. Atakujący tworzy stronę internetową, która zachęca użytkownika do zapisania jej lokalnie, pod pretekstem na przykład zabezpieczenia kodów logowania MFA na przyszłość. Użytkownik – w dobrej wierze – wciska Ctrl+S, zapisuje stronę jako „Strona internetowa, zakończono” i zmienia rozszerzenie na .HTA. Dla Windows to sygnał, by potraktować plik jako aplikację HTML. W tym momencie MoTW – czyli znacznik ostrzegający system, że plik pochodzi z internetu – nie jest stosowany. To luka w zachowaniu przeglądarek i systemu. Efekt? Kiedy ofiara uruchomi plik .HTA, Windows nie pokazuje żadnego ostrzeżenia – kod JScript uruchamia się natychmiast przez legalny proces mshta.exe.
Starsza technologia, nowe zagrożenie
Aplikacje HTML nie są niczym nowym – mshta.exe istnieje w Windows od lat. Miał ułatwiać uruchamianie miniaplikacji opartych na HTML, skryptach VBScript czy JScript, głównie w korporacyjnych intranetach. Dziś jest to wygodny nośnik ataku, bo niewielu użytkowników wie, czym jest .HTA – a system domyślnie uruchamia go bez dodatkowych pytań.
Najgroźniejszym elementem tej techniki jest socjotechnika. Ofiara musi dać się przekonać, żeby:
zapisać stronę,
zmienić rozszerzenie,
uruchomić plik.
Teoretycznie dużo, ale w praktyce dobrze zaprojektowana fałszywa strona może skłonić mniej świadomego użytkownika do takich działań. Zwłaszcza jeśli atak bazuje na strachu o dostęp do konta, MFA czy dokumentów.
Obrona – co radzą eksperci?
Eksperci ostrzegają: nie da się w pełni uszczelnić tej luki jednym łataniem – bo problem tkwi w logice zapisywania plików i starych komponentach Windows. Najlepsza praktyka to:
usunąć lub zablokować
mshta.exew środowisku, jeśli nie jest niezbędny,włączyć wyświetlanie rozszerzeń plików – żeby łatwiej zauważyć
.HTA,filtrować i blokować załączniki HTML w poczcie,
edukować użytkowników – bo to oni są pierwszą i ostatnią linią obrony.
Atak FileFix przypomina, że w 2025 roku luka w zabezpieczeniach nie musi wynikać z nowoczesnego exploita zero-day – czasem wystarczy sprytnie wykorzystać stare funkcje i nieuwagę użytkownika.
