T1218.001: 编译的 HTML 文件
摘要
攻击者可能滥用编译的 HTML 文件 (.chm) 来隐藏恶意代码。CHM 文件通常作为 Microsoft HTML Help 系统的一部分分发。CHM 文件是各种内容（如 HTML 文档、图像，以及 VBA、JScript、Java 和 ActiveX 等脚本/Web 相关编程语言）的压缩汇编。(Citation: Microsoft HTML Help May 2018) CHM 内容使用由 HTML Help 可执行程序 (hh.exe) 加载的 Internet Explorer 浏览器底层组件显示。(Citation: Microsoft HTML Help ActiveX)(Citation: Microsoft HTML Help Executable Program) 包含嵌入式载荷的自定义 CHM 文件可以被投递给受害者，然后由[用户执行](https://attack.mitre.org/techniques/T1204)触发。在不考虑通过 hh.exe 执行二进制文件的较旧和/或未修补系统上，CHM 执行还可能绕过应用程序控制。(Citation: MsitPros CHM Aug 2017)(Citation: Microsoft CVE-2017-8625 Aug 2017)
来源归属
来源：MITRE ATT&CK · 置信度：high
平台
- Windows
战术
Stealth
参考来源
- https://attack.mitre.org/techniques/T1218/001
- https://web.archive.org/web/20250419140549/https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2017-8625
- https://docs.microsoft.com/previous-versions/windows/desktop/htmlhelp/microsoft-html-help-1-4-sdk
- https://msdn.microsoft.com/windows/desktop/ms524405
- https://msdn.microsoft.com/windows/desktop/ms644670
- https://oddvar.moe/2017/08/13/bypassing-device-guard-umci-using-chm-cve-2017-8625/