MHT恶意文档投递及免杀研究

报告编号： B6-2018-091801

报告来源： 360-CERT

报告作者： Khwarezmia_，merjerson

更新日期： 2018-09-18

0x00 概述

近日360 CERT关注到ISC发布一篇关于mht文档的分析文章[ Malware Delivered Through MHT Files ] ，该文章详细讲述了如何生成mht文档以及对其生成的恶意文档进行查杀效果测试。

MHT文档又称为聚合HTML文档、Web档案或单一文件网页。单个文件网页可将网站的所有元素（包括文本和图形）都保存到单个文件中。MHT文档可以由浏览器和Office软件创建。因此，在野攻击事件中，攻击者偶尔使用MHT文档作为载体发起鱼叉和水坑攻击。从ISC的文章我们可以感知MHT恶意文档抬头的趋势。

0x01 针对Office的攻击样本分析

APT32在2017年的攻击中曾使用MHT恶意文档作为载体，该文档内包含恶意的VBA代码。受害者一旦打开文档，恶意VBA代码将得到执行。此处我们以包含宏的MHT恶意文档举例分析，但是使用Office漏洞的MHT恶意文档同样需要警惕。

示例样本MD5：CE50E544430E7265A45FAB5A1F31E529

如图所示，从文档981行开始的连续可见字符经过base64编码

对其解码后得到ActiveMime文件

从该文件偏移0x32开始使用zlib解压提取到最原始的对象文件

对其静态分析我们可以看到其中的恶意代码

0x02 针对IE免杀的研究分析

从结构上来讲，MHT文件是由multipart组成的，类型有text/html、text/css、application/octet-stream、image等，每个multipart可使用base64进行编码。

这样的话，就存在每个multipart的渲染顺序问题。经过测试，IE浏览器对所有的multipart全部解码后统一渲染。

针对这个特性，我们将恶意代码或者链接进行拆分绕过杀软检测。

我们使用ISC所给示例中的恶意链接进行测试

对样本稍加变形

生成MHT文件如下

上传virustotal检测，实现免杀效果

绕过杀软有以下两个原因：

1.对链接、脚本进行base64编码，不容易进行检测。

2.可以对链接和脚本进行拆解，在IE渲染的时候，在内存中完成拼接。增加了杀软查杀难度。

0x03 总结

总的来讲，根据过去的经验，MHT格式的恶意文档在如茫茫大海的在野攻击中占比并不算高。正因如此，在样本检测和事件响应方面容易被各大厂商和分析人员忽略。360 CERT关注到在APT组织构造的样本和某些严重的定向攻击事件中存在MHT恶意样本并将其认定为常见的、重要的恶意样本类型，且该类型恶意样本有逐渐增多的趋势，需要给予更多重视。

0x04 IoC

0x05 时间线

2018-09-18 360CERT发布研究报告

0x06 参考链接

1. Malware Delivered Through MHT Files