Het gebruik van html-smuggling als aanvalstechniek komt steeds vaker voor bij bankmalware en gerichte aanvallen, zo stelt Microsoft. Bij html-smuggling wordt een geencodeerd kwaadaardig script aan een html-bijlage of webpagina toegevoegd. Wanneer het doelwit de bijlage in zijn browser opent decodeert de browser het script, dat vervolgens een bestand downloadt en lokaal op het systeem construeert.

"Dit houdt in dat in plaats van het verstrekken van een link naar een daadwerkelijk bestand waarop een gebruiker zelf moet klikken om te downloaden, het bestand door middel van JavaScript automatisch kan worden gedownload en geconstrueerd op het systeem", aldus Microsoft. "In plaats van dat een malafide executable direct door het netwerk gaat, bouwt de aanvaller de malware lokaal achter een firewall."

Volgens het techbedrijf wordt de techniek onder andere door de Russische geheime dienst toegepast, maar ook door criminelen die bankfraude plegen. Bij de aanvallen ontvingen doelwitten via e-mail een html-bijlage. Wanneer deze bijlage wordt geopend creëert de html een JavaScript-bestand en slaat dat op in de downloadmap. Dit bestand is met een wachtwoord beveiligd, wat gelijk is aan het wachtwoord dat in de oorspronkelijke html-bijlage stond. Ook komt het voor dat via de html-bijlage een zip-bestand wordt geplaatst dat weer een JavaScript-bestand bevat.

Om dergelijke aanvallen te voorkomen adviseert Microsoft onder andere om de bestandsassociaties van .js- en .jse-bestanden te veranderen en gebruikers voor te lichten over malware-infecties.