HTA (application HTML Windows) — fichier .hta

Le HTA (HTML Application) associe une page HTML classique à du script VBScript ou JScript, le tout exécuté par mshta.exe, un composant Windows qui utilise le même moteur de rendu que l’ancien Internet Explorer mais en dehors de tout bac à sable navigateur.

Ce format n’a pas de signature binaire : c’est un fichier texte HTML, généralement introduit par la balise <hta:application> qui déclare les propriétés de la fenêtre (taille, bordure, icône), mais rien n’impose formellement cette convention.

C’est précisément l’absence de bac à sable qui distingue un HTA d’une page web ordinaire : le script qu’il contient s’exécute avec les mêmes privilèges qu’un programme lancé normalement par l’utilisateur, avec accès complet au système de fichiers et au registre — un pouvoir qu’aucune page ouverte dans un navigateur ne possède. Cette caractéristique en fait un vecteur de choix pour des campagnes de phishing, car mshta.exe est un binaire signé Microsoft présent par défaut sur Windows, ce qui lui permet de contourner des contrôles de sécurité qui bloqueraient un exécutable inconnu.

Microsoft ne recommande plus le HTA pour un développement moderne, et de nombreuses politiques de sécurité d’entreprise (Windows Defender Application Control notamment) bloquent désormais mshta.exe par défaut, indépendamment de tout contenu du fichier lui-même.

Les campagnes de phishing par pièce jointe HTA ont été suffisamment fréquentes pour que de nombreuses passerelles de messagerie d’entreprise bloquent aujourd’hui systématiquement ce type de fichier en pièce jointe, au même titre que les exécutables, plutôt que d’analyser au cas par cas le script qu’il contient.