Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Windows Command Shell: Windows Command Shell (T1059.003)
La tecnica T1059.003 descrive l'abuso del prompt dei comandi di Windows (cmd.exe) come veicolo di esecuzione di codice malevolo. Il command shell è l'interfaccia storica dei sistemi Windows e permette di controllare praticamente ogni aspetto della macchina, dalla gestione dei file all'invocazione di binari di sistema, fino all'esecuzione remota tramite servizi come SSH o WinRM.
La tecnica si colloca nella tattica TA0002 (Execution), la fase in cui l'attaccante ottiene l'effettiva esecuzione di codice controllato sul target. È spesso concatenata con tecniche di Discovery, Credential Access e Lateral Movement, agendo come collante operativo tra loader iniziali e payload di seconda fase.
I file batch (.bat, .cmd) estendono ulteriormente le capacità del prompt introducendo logica condizionale, cicli e sequenze automatizzabili, rendendo cmd un componente attraente per operazioni ripetitive o multi-host. L'impatto è significativo: 71 gruppi APT e 286 famiglie di malware documentate ne fanno uso, distribuite in 15 campagne di rilievo che spaziano dallo spionaggio (SolarWinds Compromise, Operation CuckooBees) al ransomware (C0015, HomeLand Justice). Data la sua ubiquità nei sistemi Windows e la difficoltà di distinguere uso legittimo da abuso, la sua detection resta una delle sfide fondamentali per qualsiasi SOC.
Sul piano offensivo, cmd.exe rimane uno strumento essenziale per red team e penetration tester, sia come vettore diretto sia come componente di catene più complesse. La forma canonica cmd.exe /c
Una catena tipica di post-exploitation combina discovery e movimento laterale in un unico comando: cmd.exe /c whoami && net user /domain && ipconfig /all replica il pattern osservato in APT3 e Volt Typhoon. Per esecuzione remota, wmiexec del pacchetto Impacket (open source) resta lo standard de facto, con sintassi wmiexec.py DOMAIN/user:password@target "cmd.exe /c
Per simulazioni realistiche di batch scripting malevolo, un lab può includere script che disabilitano Defender (pattern osservato in Saint Bear e FIN6 con kill.bat), eliminano shadow copy (vssadmin delete shadows /all /quiet, usato da REvil e Black Basta) o creano persistenza via schtasks. Il framework Atomic Red Team (open source) del Red Canary fornisce test atomici pronti per T1059.003, invocabili con Invoke-AtomicTest T1059.003 tramite il modulo PowerShell dedicato.
Per command and control, Cobalt Strike (a pagamento) espone il beacon shell command tramite il comando shell, che internamente invoca cmd.exe /c. Alternative open source includono Sliver (open source) di Bishop Fox, Havoc (open source) e Covenant (open source), tutti citati nei dati MITRE come veicoli di command shell. Brute Ratel C4 (a pagamento) offre funzionalità analoghe con enfasi su evasione EDR.
Una tecnica di evasione ricorrente è l'uso di cmd rinominato: Kevin utilizza un'immagine ridenominata di cmd.exe per bypassare regole basate sul nome del processo. Un red team maturo simula questo pattern copiando cmd.exe in %TEMP%\svchost.exe e osservando quali controlli sopravvivono. Altrettanto rilevante è l'abuso di xp_cmdshell su MS-SQL, tecnica documentata per FIN13 e Sandworm nel 2016 Ukraine Electric Power Attack, testabile in lab con sqlmap (open source) o direttamente via sqlcmd.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.