--- id: CP-084 slug: cables-trampa-omg-rubber-ducky lang: es title: Cables trampa y memorias que imitan un teclado description: Un cable o una memoria USB puede hacerse pasar por un teclado y escribir comandos en su lugar. Así puede protegerse. canonical_url: https://startbrain.io/cyberpedia/es/articles/cables-trampa-omg-rubber-ducky/ markdown_url: https://startbrain.io/cyberpedia/es/articles/cables-trampa-omg-rubber-ducky.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Cables trampa y memorias que imitan un teclado», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/cables-trampa-omg-rubber-ducky/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-051 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/cables-trampa-omg-rubber-ducky/ fr: https://startbrain.io/cyberpedia/fr/articles/cables-pieges-omg-rubber-ducky/ en: https://startbrain.io/cyberpedia/en/articles/booby-trapped-cables-hid-keyboard-emulation/ de: https://startbrain.io/cyberpedia/de/articles/praeparierte-kabel-omg-rubber-ducky/ it: https://startbrain.io/cyberpedia/it/articles/cavi-trappola-omg-rubber-ducky/ sources: - "n": 1 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 2 title: Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1091/ accessed: "2026-11-03" - "n": 3 title: FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G0046/ accessed: "2026-11-03" - "n": 4 title: "Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1059/001/ accessed: "2026-11-03" - "n": 5 title: Using Caution with USB Drives | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/using-caution-usb-drives published: "2021-02-01" accessed: "2026-11-03" - "n": 6 title: Kernel DMA Protection publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt accessed: "2026-11-03" - "n": 7 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" --- # Cables trampa y memorias que imitan un teclado Un cable o una memoria USB puede parecer un accesorio corriente y comportarse como un teclado. El ordenador lo toma por un dispositivo de entrada y acepta lo que «escribe», sin que la persona que está ante la pantalla haya pulsado una sola tecla. MITRE, que cataloga las técnicas de ataque, clasifica este procedimiento entre las adiciones de hardware: accesorios o dispositivos introducidos físicamente en un sistema para obtener acceso. Cita la inyección de pulsaciones de teclas entre las capacidades de productos comerciales y de código abierto [1]. Esta ficha explica qué supone esto para un empleado. ## En 30 segundos - Dónde ocurre: en su puesto de trabajo, cuando se conecta al ordenador un cable, una memoria o un accesorio desconocido, incluido un objeto recibido por correo postal [3]. - Qué quiere el atacante: que la máquina ejecute comandos, por ejemplo para descargar un programa malicioso [3]. - El reflejo: conectar solo material suministrado o validado por la empresa y entregar al departamento de informática cualquier objeto desconocido. - Si ya lo ha hecho: desconecte, no toque nada más y avise a informática sin demora (consejo de sentido común que las fuentes citadas aquí no ofrecen). ## Preguntas directas ### ¿Puede un cable escribir de verdad en mi lugar? Sí. Las fuentes citadas aquí describen memorias USB maliciosas que hacen de teclados virtuales, y la inyección de pulsaciones como capacidad de productos comerciales y de código abierto, utilizados en particular por equipos de auditoría ofensiva [1][3]. Los nombres de los productos habituales en este ámbito no aparecen en las fuentes citadas aquí, salvo el Bash Bunny, utilizado por el grupo DarkVishnya [1]. ### ¿Lo detiene un antivirus? Las fuentes citadas aquí no lo dicen. Recomiendan no conectar una memoria desconocida, desactivar la ejecución automática y mantener actualizado el software de seguridad [5]. MITRE, por su parte, indica una medida de fondo: bloquear los dispositivos y accesorios desconocidos mediante la configuración de seguridad del equipo [1]. ### ¿Por qué es peligroso un objeto recibido por correo? Porque el atacante no necesita entrar en las instalaciones. MITRE señala que actores de FIN7 enviaron por correo postal memorias USB a posibles víctimas [3]. CISA añade que algunos atacantes han infectado objetos durante su fabricación, como marcos de fotos digitales o memorias USB [5]. ### ¿Qué hago con una memoria encontrada en el suelo? No la conecte, ni siquiera para ver su contenido o localizar a su dueño. CISA pide entregarla a las personas competentes: el personal de seguridad del lugar o el servicio informático de la organización [5]. ## En la piel del atacante El atacante busca un acceso inicial. Para MITRE, una adición de hardware es más rica que una simple memoria de almacenamiento: aporta a la máquina nuevas funciones que luego pueden desviarse de su uso [1]. La inyección de pulsaciones es una de ellas [1]. También necesita un motivo para que el objeto se conecte. CISA describe atacantes que se hacen pasar por un nuevo empleado, un técnico de reparaciones o un investigador, y que presentan credenciales [7]. El coste de entrada es bajo en algunos ataques afines. Microsoft describe ataques de acceso directo a memoria que suelen durar unos minutos, con hardware y software baratos, vendidos en el comercio, sin desmontar el dispositivo. Un atacante puede conectar un dispositivo de tipo USB durante la pausa del propietario y marcharse con los secretos de la máquina [6]. ## Lo que ve en la pantalla Las fuentes citadas aquí no describen la pantalla de la víctima en términos generales. Solo se documenta un detalle: FIN7 utilizó memorias USB maliciosas para abrir el cuadro de diálogo Ejecutar con la combinación Windows + R y luego lanzar un símbolo del sistema [3]. Una ventana que se abre sola justo después de conectar algo es, por tanto, una señal que hay que tomar en serio. Las fuentes no dicen si el ataque deja un rastro visible en todos los casos ni cuánto dura. Que no haya ningún indicio en pantalla no prueba, pues, nada. Los equipos de seguridad se apoyan en otras señales: MITRE describe la detección de un nuevo dispositivo reconocido por Windows, seguida poco después de procesos lanzados desde la misma sesión y de una posible inyección de pulsaciones [1]. ## Bajo el capó El principio cabe en una frase: el dispositivo se presenta al ordenador como un teclado, y el ordenador obedece a sus pulsaciones. Las fuentes citadas aquí lo confirman para FIN7, cuyas memorias USB actuaban en algunos casos como teclados virtuales [3]. No detallan el protocolo técnico ni la velocidad de escritura. Una vez enviadas las teclas, lo que sigue es habitual. FIN7 empleó estas memorias para lanzar PowerShell y descargar y ejecutar un programa malicioso desde el servidor del atacante [3]. PowerShell es un entorno de comandos incluido en Windows, que los atacantes pueden utilizar para obtener información y ejecutar código [4]. El caso del cable de carga es afín. MITRE señala que los dispositivos móviles y, en algunos casos, los cables de carga USB pueden servir para infectar un ordenador [2]. Esta mención se refiere a la propagación mediante soportes extraíbles, no a la escritura de pulsaciones. En cuanto a la defensa, las fuentes destacan dos medidas. La primera es bloquear los dispositivos y accesorios desconocidos mediante la configuración de seguridad [1]. La segunda es propia de los dispositivos con acceso directo a memoria (Thunderbolt, USB4): por defecto, Windows puede impedir que arranquen los que tienen controladores no compatibles hasta que un usuario autorizado haya iniciado sesión o desbloqueado la pantalla, y un administrador puede cambiar este comportamiento [6]. Esta protección no cubre FireWire, PCMCIA, CardBus ni ExpressCard [6]. ## Autopsias ### FIN7 y las memorias USB enviadas por correo FIN7 es un grupo criminal con ánimo de lucro, activo desde 2013. Desde 2020 se ha orientado a la caza mayor, con el uso del ransomware REvil y de su propio servicio, Darkside [3]. Según MITRE, actores de FIN7 enviaron por correo postal memorias USB a posibles víctimas. Contenían un programa malicioso que instala varias puertas traseras, a veces con vistas a operaciones de ransomware [3]. El grupo utilizó también memorias que se comportaban como teclados virtuales para instalar programas maliciosos, así como archivos de texto que se descodifican en comandos de PowerShell [3]. En concreto, estas memorias enviaban Windows + R para abrir el cuadro Ejecutar y luego lanzaban un símbolo del sistema [3]. Otras emularon pulsaciones para iniciar PowerShell y descargar y ejecutar un programa desde el servidor del atacante [3]. MITRE remite a artículos de prensa de enero de 2022, entre ellos uno del 7 de enero de 2022 titulado «FBI: FIN7 hackers target US companies with BadUSB devices to install ransomware» [3]. Las fuentes citadas aquí no describen ni el embalaje de los envíos ni su disfraz de regalo o de correo oficial. ## Fuentes 1. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK®». https://attack.mitre.org/groups/G0046/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1059/001/ (consultado el 3 de noviembre de 2026) 5. CISA, «Using Caution with USB Drives | CISA», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/using-caution-usb-drives (consultado el 3 de noviembre de 2026) 6. Microsoft, «Kernel DMA Protection». https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt (consultado el 3 de noviembre de 2026) 7. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/cables-trampa-omg-rubber-ducky/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.