LOLBAS covers Mshta, Wmic, Reg and Netsh, but the Netsh entry only has the helper DLL technique. The netsh wlan key=clear dump is not on it yet, and Fodhelper and Bcdedit are not on LOLBAS.
November 10, 2026 at 2:58 PM
LOLBAS covers Mshta, Wmic, Reg and Netsh, but the Netsh entry only has the helper DLL technique. The netsh wlan key=clear dump is not on it yet, and Fodhelper and Bcdedit are not on LOLBAS.
If mshta, fodhelper and bcdedit are not used by your users, prevent them from running with app control, with free MagicSword.io: magicsword.io
Keep OPENAI_API_KEY in a secrets manager, not in environment variables. Malware now reads it.
Keep OPENAI_API_KEY in a secrets manager, not in environment variables. Malware now reads it.
Application Control for the Tools Attackers Abuse | MagicSword
Block unapproved software with application control built on threat research. Start in audit mode. Free forever for up to 100 endpoints.
www.magicsword.io
November 10, 2026 at 2:58 PM
If mshta, fodhelper and bcdedit are not used by your users, prevent them from running with app control, with free MagicSword.io: magicsword.io
Keep OPENAI_API_KEY in a secrets manager, not in environment variables. Malware now reads it.
Keep OPENAI_API_KEY in a secrets manager, not in environment variables. Malware now reads it.
Per Microsoft Learn’s ASR reference, part of that list has a prevention rule as well: “Block all Office applications from creating child processes”. It catches the winword and excel parents, not mshta. Audit mode first — what surfaces there is the add-in or template that legitimately shells out.
November 7, 2026 at 10:50 AM
Per Microsoft Learn’s ASR reference, part of that list has a prevention rule as well: “Block all Office applications from creating child processes”. It catches the winword and excel parents, not mshta. Audit mode first — what surfaces there is the add-in or template that legitimately shells out.
Attackers don't always bring tools. Windows has plenty.
certutil → Downloads files
mshta → Runs HTA scripts
rundll32 → Executes DLL code
regsvr32 → Loads remote scriptlets
All signed by Microsoft. The command line tells the story.
certutil → Downloads files
mshta → Runs HTA scripts
rundll32 → Executes DLL code
regsvr32 → Loads remote scriptlets
All signed by Microsoft. The command line tells the story.
November 7, 2026 at 1:37 PM
Attackers don't always bring tools. Windows has plenty.
certutil → Downloads files
mshta → Runs HTA scripts
rundll32 → Executes DLL code
regsvr32 → Loads remote scriptlets
All signed by Microsoft. The command line tells the story.
certutil → Downloads files
mshta → Runs HTA scripts
rundll32 → Executes DLL code
regsvr32 → Loads remote scriptlets
All signed by Microsoft. The command line tells the story.
Prevention: prevent the later cscript stage. free MagicSword.io blocks cscript, wscript, and mshta for normal users so many ClickFix chains never get a foothold: magicsword.io
MagicSword | Threat-Driven Application Control
Stop malware-free attacks with agentless threat-driven application control. Block what attackers abuse before your EDR flags it. Free up to 100 endpoints.
www.magicsword.io
November 2, 2026 at 4:57 PM
Prevention: prevent the later cscript stage. free MagicSword.io blocks cscript, wscript, and mshta for normal users so many ClickFix chains never get a foothold: magicsword.io
#コマンドプロンプト・BATを使いこなす 116
BAT内で高度な処理：mshta＋VBScript編
mshta vbscript:execute("VBScriptのコード")
例：
mshta vbscript:execute("MsgBox (1+1): window.close")
1+1が計算され「2」と表示される。
良いBATをコーディングするためには，
WSHの知識も必要。
BAT内で高度な処理：mshta＋VBScript編
mshta vbscript:execute("VBScriptのコード")
例：
mshta vbscript:execute("MsgBox (1+1): window.close")
1+1が計算され「2」と表示される。
良いBATをコーディングするためには，
WSHの知識も必要。
October 31, 2026 at 5:38 AM
#コマンドプロンプト・BATを使いこなす 116
BAT内で高度な処理：mshta＋VBScript編
mshta vbscript:execute("VBScriptのコード")
例：
mshta vbscript:execute("MsgBox (1+1): window.close")
1+1が計算され「2」と表示される。
良いBATをコーディングするためには，
WSHの知識も必要。
BAT内で高度な処理：mshta＋VBScript編
mshta vbscript:execute("VBScriptのコード")
例：
mshta vbscript:execute("MsgBox (1+1): window.close")
1+1が計算され「2」と表示される。
良いBATをコーディングするためには，
WSHの知識も必要。
#コマンドプロンプト・BATを使いこなす 116
BAT内で高度な処理：mshta＋VBScript編
mshta vbscript:execute("VBScriptのコード")
例：
mshta vbscript:execute("MsgBox (1+1): window.close")
1+1が計算され「2」と表示される。
良いBATをコーディングするためには，
WSHの知識も必要。
BAT内で高度な処理：mshta＋VBScript編
mshta vbscript:execute("VBScriptのコード")
例：
mshta vbscript:execute("MsgBox (1+1): window.close")
1+1が計算され「2」と表示される。
良いBATをコーディングするためには，
WSHの知識も必要。
October 31, 2026 at 5:38 AM
#コマンドプロンプト・BATを使いこなす 116
BAT内で高度な処理：mshta＋VBScript編
mshta vbscript:execute("VBScriptのコード")
例：
mshta vbscript:execute("MsgBox (1+1): window.close")
1+1が計算され「2」と表示される。
良いBATをコーディングするためには，
WSHの知識も必要。
BAT内で高度な処理：mshta＋VBScript編
mshta vbscript:execute("VBScriptのコード")
例：
mshta vbscript:execute("MsgBox (1+1): window.close")
1+1が計算され「2」と表示される。
良いBATをコーディングするためには，
WSHの知識も必要。
#コマンドプロンプト・BATを使いこなす 115
BAT内に「高度な処理」を組み込む方法：
mshtaは非常に便利。
BATだけで，いろいろできる。
mshta.exe "javascript:JavaScriptのコード"
例
mshta "javascript:alert('hoge');window.close();"
"hoge" というダイアログがGUIで表示される。
BAT内に「高度な処理」を組み込む方法：
mshtaは非常に便利。
BATだけで，いろいろできる。
mshta.exe "javascript:JavaScriptのコード"
例
mshta "javascript:alert('hoge');window.close();"
"hoge" というダイアログがGUIで表示される。
October 30, 2026 at 7:38 PM
#コマンドプロンプト・BATを使いこなす 115
BAT内に「高度な処理」を組み込む方法：
mshtaは非常に便利。
BATだけで，いろいろできる。
mshta.exe "javascript:JavaScriptのコード"
例
mshta "javascript:alert('hoge');window.close();"
"hoge" というダイアログがGUIで表示される。
BAT内に「高度な処理」を組み込む方法：
mshtaは非常に便利。
BATだけで，いろいろできる。
mshta.exe "javascript:JavaScriptのコード"
例
mshta "javascript:alert('hoge');window.close();"
"hoge" というダイアログがGUIで表示される。
#コマンドプロンプト・BATを使いこなす 115
BAT内に「高度な処理」を組み込む方法：
mshtaは非常に便利。
BATだけで，いろいろできる。
mshta.exe "javascript:JavaScriptのコード"
例
mshta "javascript:alert('hoge');window.close();"
"hoge" というダイアログがGUIで表示される。
BAT内に「高度な処理」を組み込む方法：
mshtaは非常に便利。
BATだけで，いろいろできる。
mshta.exe "javascript:JavaScriptのコード"
例
mshta "javascript:alert('hoge');window.close();"
"hoge" というダイアログがGUIで表示される。
October 30, 2026 at 7:38 PM
#コマンドプロンプト・BATを使いこなす 115
BAT内に「高度な処理」を組み込む方法：
mshtaは非常に便利。
BATだけで，いろいろできる。
mshta.exe "javascript:JavaScriptのコード"
例
mshta "javascript:alert('hoge');window.close();"
"hoge" というダイアログがGUIで表示される。
BAT内に「高度な処理」を組み込む方法：
mshtaは非常に便利。
BATだけで，いろいろできる。
mshta.exe "javascript:JavaScriptのコード"
例
mshta "javascript:alert('hoge');window.close();"
"hoge" というダイアログがGUIで表示される。
APT-C-60 hides SpyGlace behind mshta, git.exe and GitHub in Japan-targeted phishing. https://intel.threadlinqs.com/threat/TL-2026-4638?utm_source=bluesky #ThreatIntel #SpyGrace #SpyGlace #APTC60
October 28, 2026 at 11:46 AM
APT-C-60 hides SpyGlace behind mshta, git.exe and GitHub in Japan-targeted phishing. https://intel.threadlinqs.com/threat/TL-2026-4638?utm_source=bluesky #ThreatIntel #SpyGrace #SpyGlace #APTC60
#コマンドプロンプト・BATを使いこなす 109
バッチファイルでは，
複雑な処理は困難だ。
解決策として，
別のプログラムを呼び出して処理させるべし。
・cscriptでWSF・WSH
・mshtaでワンライナー
なぜなら，BATが得意分野とするのは
「外部プログラムを適切に呼びだす」
という処理だから。
バッチファイルでは，
複雑な処理は困難だ。
解決策として，
別のプログラムを呼び出して処理させるべし。
・cscriptでWSF・WSH
・mshtaでワンライナー
なぜなら，BATが得意分野とするのは
「外部プログラムを適切に呼びだす」
という処理だから。
October 28, 2026 at 8:08 PM
#コマンドプロンプト・BATを使いこなす 109
バッチファイルでは，
複雑な処理は困難だ。
解決策として，
別のプログラムを呼び出して処理させるべし。
・cscriptでWSF・WSH
・mshtaでワンライナー
なぜなら，BATが得意分野とするのは
「外部プログラムを適切に呼びだす」
という処理だから。
バッチファイルでは，
複雑な処理は困難だ。
解決策として，
別のプログラムを呼び出して処理させるべし。
・cscriptでWSF・WSH
・mshtaでワンライナー
なぜなら，BATが得意分野とするのは
「外部プログラムを適切に呼びだす」
という処理だから。
Bank phishing is going script-first: HTML lures, mshta, then Telegram API credential exfil. https://intel.threadlinqs.com/threat/TL-2026-4587?utm_source=bluesky #ThreatIntel #LockBit #AgendaCrypt #Storm
October 28, 2026 at 2:18 AM
Bank phishing is going script-first: HTML lures, mshta, then Telegram API credential exfil. https://intel.threadlinqs.com/threat/TL-2026-4587?utm_source=bluesky #ThreatIntel #LockBit #AgendaCrypt #Storm
#コマンドプロンプト・BATを使いこなす 109
バッチファイルでは，
複雑な処理は困難だ。
解決策として，
別のプログラムを呼び出して処理させるべし。
・cscriptでWSF・WSH
・mshtaでワンライナー
なぜなら，BATが得意分野とするのは
「外部プログラムを適切に呼びだす」
という処理だから。
バッチファイルでは，
複雑な処理は困難だ。
解決策として，
別のプログラムを呼び出して処理させるべし。
・cscriptでWSF・WSH
・mshtaでワンライナー
なぜなら，BATが得意分野とするのは
「外部プログラムを適切に呼びだす」
という処理だから。
October 28, 2026 at 8:08 PM
#コマンドプロンプト・BATを使いこなす 109
バッチファイルでは，
複雑な処理は困難だ。
解決策として，
別のプログラムを呼び出して処理させるべし。
・cscriptでWSF・WSH
・mshtaでワンライナー
なぜなら，BATが得意分野とするのは
「外部プログラムを適切に呼びだす」
という処理だから。
バッチファイルでは，
複雑な処理は困難だ。
解決策として，
別のプログラムを呼び出して処理させるべし。
・cscriptでWSF・WSH
・mshtaでワンライナー
なぜなら，BATが得意分野とするのは
「外部プログラムを適切に呼びだす」
という処理だから。
ClickFix tricks users into running attacker-supplied commands through native Windows binaries. Here is how attack reduction in Huntress Managed ESPM constrains PowerShell, cmd.exe, and mshta execution to break that chain early.
Huntress Managed ESPM Attack Reduction Disrupts ClickFix PowerShell Abuse
ClickFix tricks users into running attacker-supplied commands through native Windows binaries. Here is how attack reduction in Huntress Managed ESPM constrains PowerShell, cmd.exe, and mshta execution to break that chain early.
captechgroup.com
October 24, 2026 at 12:44 PM
ClickFix tricks users into running attacker-supplied commands through native Windows binaries. Here is how attack reduction in Huntress Managed ESPM constrains PowerShell, cmd.exe, and mshta execution to break that chain early.
Prevention: free MagicSword.io blocks mshta/wscript/cscript paths many ClickFix lures still use, and you can add custom rules for DeElevate64.exe: magicsword.io
Application Control for the Tools Attackers Abuse | MagicSword
Block unapproved software with application control built on threat research. Start in audit mode. Free forever for up to 100 endpoints.
www.magicsword.io
October 24, 2026 at 3:02 PM
Prevention: free MagicSword.io blocks mshta/wscript/cscript paths many ClickFix lures still use, and you can add custom rules for DeElevate64.exe: magicsword.io
A China-nexus crew is living off signed Microsoft binaries.
Fake Gmail attachment → HTA in mshta → .NET deserialization → GatherOsState.exe sideloads slc.dll → Antino, C2 over Outlook/OneDrive.
Fake Gmail attachment → HTA in mshta → .NET deserialization → GatherOsState.exe sideloads slc.dll → Antino, C2 over Outlook/OneDrive.
October 7, 2026 at 3:57 PM
A China-nexus crew is living off signed Microsoft binaries.
Fake Gmail attachment → HTA in mshta → .NET deserialization → GatherOsState.exe sideloads slc.dll → Antino, C2 over Outlook/OneDrive.
Fake Gmail attachment → HTA in mshta → .NET deserialization → GatherOsState.exe sideloads slc.dll → Antino, C2 over Outlook/OneDrive.
2/ 1. RunMRU (HKCU\...\Explorer\RunMRU) records every Win+R command, even failed ones. Alert on powershell, mshta, wscript, curl or browser "Profiles" paths written by explorer.exe.
2. wscript/cscript running .vbs from \Temp\.
2. wscript/cscript running .vbs from \Temp\.
October 6, 2026 at 5:52 PM
2/ 1. RunMRU (HKCU\...\Explorer\RunMRU) records every Win+R command, even failed ones. Alert on powershell, mshta, wscript, curl or browser "Profiles" paths written by explorer.exe.
2. wscript/cscript running .vbs from \Temp\.
2. wscript/cscript running .vbs from \Temp\.
The SideCopy APT campaign deploys custom RATs. Learn how the SideCopy APT campaign malware exploits mshta to target academic and government networks.
#SideCopy #APT #CyberSecurity #Malware #Trellix
#SideCopy #APT #CyberSecurity #Malware #Trellix
SideCopy APT Campaign Targets Academic Institutions
At a Glance Attribute Details Actor or Group SideCopy (suspected Pakistan-nexus threat group) Activity Type Spear-phishing, living-off-the-land execution, cyberespionage Targets or Victims Academic institutions, defense personnel, and government officials Scale Multiple targeted research and educational organizations across South Asia Jurisdiction / Status Active suspected state-sponsored espionage group; uncharged Source Trellix Advanced Research Center (ARC) Executive Summary Trellix ARC researchers uncovered a new offensive wave driven by the…
securityonline.info
September 23, 2026 at 8:01 AM
The SideCopy APT campaign deploys custom RATs. Learn how the SideCopy APT campaign malware exploits mshta to target academic and government networks.
#SideCopy #APT #CyberSecurity #Malware #Trellix
#SideCopy #APT #CyberSecurity #Malware #Trellix
SideCopy Threat Intel: MSHTA-Driven Execution and RAT Deployment https://packetstorm.news/news/view/43644 #news
September 21, 2026 at 6:41 PM
SideCopy Threat Intel: MSHTA-Driven Execution and RAT Deployment https://packetstorm.news/news/view/43644 #news
#コマンドプロンプト・BATを使いこなす 116
BAT内で高度な処理：mshta＋VBScript編
mshta vbscript:execute("VBScriptのコード")
例：
mshta vbscript:execute("MsgBox (1+1): window.close")
1+1が計算され「2」と表示される。
良いBATをコーディングするためには，
WSHの知識も必要。
BAT内で高度な処理：mshta＋VBScript編
mshta vbscript:execute("VBScriptのコード")
例：
mshta vbscript:execute("MsgBox (1+1): window.close")
1+1が計算され「2」と表示される。
良いBATをコーディングするためには，
WSHの知識も必要。
September 21, 2026 at 5:08 PM
#コマンドプロンプト・BATを使いこなす 116
BAT内で高度な処理：mshta＋VBScript編
mshta vbscript:execute("VBScriptのコード")
例：
mshta vbscript:execute("MsgBox (1+1): window.close")
1+1が計算され「2」と表示される。
良いBATをコーディングするためには，
WSHの知識も必要。
BAT内で高度な処理：mshta＋VBScript編
mshta vbscript:execute("VBScriptのコード")
例：
mshta vbscript:execute("MsgBox (1+1): window.close")
1+1が計算され「2」と表示される。
良いBATをコーディングするためには，
WSHの知識も必要。
#コマンドプロンプト・BATを使いこなす 115
BAT内に「高度な処理」を組み込む方法：
mshtaは非常に便利。
BATだけで，いろいろできる。
mshta.exe "javascript:JavaScriptのコード"
例
mshta "javascript:alert('hoge');window.close();"
"hoge" というダイアログがGUIで表示される。
BAT内に「高度な処理」を組み込む方法：
mshtaは非常に便利。
BATだけで，いろいろできる。
mshta.exe "javascript:JavaScriptのコード"
例
mshta "javascript:alert('hoge');window.close();"
"hoge" というダイアログがGUIで表示される。
September 21, 2026 at 7:39 AM
#コマンドプロンプト・BATを使いこなす 115
BAT内に「高度な処理」を組み込む方法：
mshtaは非常に便利。
BATだけで，いろいろできる。
mshta.exe "javascript:JavaScriptのコード"
例
mshta "javascript:alert('hoge');window.close();"
"hoge" というダイアログがGUIで表示される。
BAT内に「高度な処理」を組み込む方法：
mshtaは非常に便利。
BATだけで，いろいろできる。
mshta.exe "javascript:JavaScriptのコード"
例
mshta "javascript:alert('hoge');window.close();"
"hoge" というダイアログがGUIで表示される。
#コマンドプロンプト・BATを使いこなす 109
バッチファイルでは，
複雑な処理は困難だ。
解決策として，
別のプログラムを呼び出して処理させるべし。
・cscriptでWSF・WSH
・mshtaでワンライナー
なぜなら，BATが得意分野とするのは
「外部プログラムを適切に呼びだす」
という処理だから。
バッチファイルでは，
複雑な処理は困難だ。
解決策として，
別のプログラムを呼び出して処理させるべし。
・cscriptでWSF・WSH
・mshtaでワンライナー
なぜなら，BATが得意分野とするのは
「外部プログラムを適切に呼びだす」
という処理だから。
September 19, 2026 at 6:38 PM
#コマンドプロンプト・BATを使いこなす 109
バッチファイルでは，
複雑な処理は困難だ。
解決策として，
別のプログラムを呼び出して処理させるべし。
・cscriptでWSF・WSH
・mshtaでワンライナー
なぜなら，BATが得意分野とするのは
「外部プログラムを適切に呼びだす」
という処理だから。
バッチファイルでは，
複雑な処理は困難だ。
解決策として，
別のプログラムを呼び出して処理させるべし。
・cscriptでWSF・WSH
・mshtaでワンライナー
なぜなら，BATが得意分野とするのは
「外部プログラムを適切に呼びだす」
という処理だから。
APT-C-60's SpyGlace arrives via Proton Drive LNK, runs on mshta+git.exe so destination blocking alone fails. https://intel.threadlinqs.com/threat/TL-2026-2371 #ThreatIntel #SpyGrace #SpyGlace #APTC60
September 7, 2026 at 2:47 PM
APT-C-60's SpyGlace arrives via Proton Drive LNK, runs on mshta+git.exe so destination blocking alone fails. https://intel.threadlinqs.com/threat/TL-2026-2371 #ThreatIntel #SpyGrace #SpyGlace #APTC60
MSHTA commands to get PowerShell to get etc, etc. Almost all LOL until it gets to the stealer itself.
March 4, 2025 at 11:35 PM
MSHTA commands to get PowerShell to get etc, etc. Almost all LOL until it gets to the stealer itself.