وقتی رفتار عادی کاربر به Execution Path تبدیل می‌شود

برداشت من از مقاله لینک زیر

یکی از خطرناک‌ترین سوءبرداشت‌ها در امنیت سایبری این است که فقط رفتارهای «غیرعادی» یا ابزارهای پیچیده می‌توانند منجر به compromise شوند. در حالی‌که بسیاری از حملات مدرن دقیقاً از دل رفتارهای روزمره کاربران شکل می‌گیرند.
آسیب‌پذیری Command Injection در Context Menu ویندوز نمونه بسیار خوبی از این واقعیت است.
عملی کاملاً طبیعی مانند Shift + Right Click روی یک پوشه و انتخاب گزینه «Open PowerShell window here» می‌تواند به execution ناخواسته کد منجر شود. مسئله اصلی نه PowerShell است و نه حتی privilege escalation؛ بلکه این واقعیت است که یک interaction عادی کاربر، به execution path تبدیل شده است.
این دقیقاً همان بخشی است که در بسیاری از Threat Modelها نادیده گرفته می‌شود.
اغلب تیم‌ها هنگام طراحی دفاع امنیتی روی مواردی مانند malware execution، exploit chain یا persistence تمرکز می‌کنند؛ اما کمتر این سؤال را می‌پرسند:
«کدام رفتار عادی کاربر می‌تواند به surface اجرای کد تبدیل شود؟»
در دنیای واقعی، مهاجمان الزاماً به دنبال exploitهای پیچیده kernel نیستند. گاهی کافی است فرآیندی پیدا کنند که:
کاربر به آن اعتماد دارد،
به‌صورت روزمره استفاده می‌شود،
و در پشت‌صحنه command construction ناامن انجام می‌دهد.
همین mindset باعث شده در سال‌های اخیر تکنیک‌های Living-off-the-Land اهمیت بیشتری پیدا کنند؛ زیرا مهاجم از ابزارها و workflowهای legitimate سیستم علیه خود سیستم استفاده می‌کند.
نمونه ای که گفته شد یک درس مهم برای معماران امنیت، SOCها و حتی توسعه‌دهندگان دارد:
هر UI action، context menu، automation flow یا helper script می‌تواند عملاً بخشی از attack surface باشد؛ حتی اگر سال‌ها «قابلیت عادی سیستم‌عامل» تلقی شده باشد.
در امنیت مدرن، صرفاً بررسی executableها کافی نیست؛ باید مسیرهای تبدیل «رفتار عادی» به «execution» را هم مدل‌سازی کرد.



https://specterops.io/blog/2026/05/07/shift-happens-uncovering-two-built-in-command-injections-in-windows-context-menus/