MITRE ATT&CK T1204.004 è una tecnica di user execution in cui un aggressore persuade una vittima a copiare, incollare o eseguire manualmente comandi malevoli. Invece di sfruttare direttamente il software, l'aggressore fa leva su fiducia, curiosità o urgenza per indurre l'utente a compiere il passo pericoloso. Ciò si osserva spesso in attacchi dal browser alla shell, falsi prompt di supporto, download compromessi e pagine di social engineering che presentano i comandi come parte di un normale processo di correzione o verifica.
Questa tecnica è importante perché aggira molti controlli che si concentrano sugli allegati o sulle firme degli exploit. I difensori dovrebbero monitorare istruzioni insolite che invitano gli utenti ad aprire terminali, incollare codice o modificare le impostazioni di sicurezza, soprattutto quando la richiesta proviene da una pagina web, da un annuncio o da un messaggio in chat. Il rilevamento sugli endpoint, l'auditing della riga di comando, le protezioni del browser e la formazione degli utenti aiutano a ridurre il rischio, ma la difesa fondamentale è riconoscere che un prompt dall'aspetto legittimo può comunque essere un percorso di esecuzione per il malware.