Cables trampa y memorias que imitan un teclado
Un cable o una memoria USB puede hacerse pasar por un teclado y escribir comandos en su lugar. Así puede protegerse.
En 30 segundos
- Dónde ocurre
- En su puesto de trabajo, cuando se conecta al ordenador un cable, una memoria o un accesorio desconocido, incluido un objeto recibido por correo postal3.
- Qué quiere el atacante
- Que la máquina ejecute comandos, por ejemplo para descargar un programa malicioso3.
- El reflejo
- Conectar solo material suministrado o validado por la empresa y entregar al departamento de informática cualquier objeto desconocido.
- Si ya lo ha hecho
- Desconecte, no toque nada más y avise a informática sin demora (consejo de sentido común que las fuentes citadas aquí no ofrecen).
De qué se trata
Un cable o una memoria USB puede parecer un accesorio corriente y comportarse como un teclado. El ordenador lo toma por un dispositivo de entrada y acepta lo que «escribe», sin que la persona que está ante la pantalla haya pulsado una sola tecla.
MITRE, que cataloga las técnicas de ataque, clasifica este procedimiento entre las adiciones de hardware: accesorios o dispositivos introducidos físicamente en un sistema para obtener acceso. Cita la inyección de pulsaciones de teclas entre las capacidades de productos comerciales y de código abierto1. Esta ficha explica qué supone esto para un empleado.
Preguntas directas
¿Puede un cable escribir de verdad en mi lugar?
Sí. Las fuentes citadas aquí describen memorias USB maliciosas que hacen de teclados virtuales, y la inyección de pulsaciones como capacidad de productos comerciales y de código abierto, utilizados en particular por equipos de auditoría ofensiva13. Los nombres de los productos habituales en este ámbito no aparecen en las fuentes citadas aquí, salvo el Bash Bunny, utilizado por el grupo DarkVishnya1.
¿Lo detiene un antivirus?
Las fuentes citadas aquí no lo dicen. Recomiendan no conectar una memoria desconocida, desactivar la ejecución automática y mantener actualizado el software de seguridad5. MITRE, por su parte, indica una medida de fondo: bloquear los dispositivos y accesorios desconocidos mediante la configuración de seguridad del equipo1.
¿Por qué es peligroso un objeto recibido por correo?
Porque el atacante no necesita entrar en las instalaciones. MITRE señala que actores de FIN7 enviaron por correo postal memorias USB a posibles víctimas3. CISA añade que algunos atacantes han infectado objetos durante su fabricación, como marcos de fotos digitales o memorias USB5.
¿Qué hago con una memoria encontrada en el suelo?
No la conecte, ni siquiera para ver su contenido o localizar a su dueño. CISA pide entregarla a las personas competentes: el personal de seguridad del lugar o el servicio informático de la organización5.
1En la piel del atacante1 min
El atacante busca un acceso inicial. Para MITRE, una adición de hardware es más rica que una simple memoria de almacenamiento: aporta a la máquina nuevas funciones que luego pueden desviarse de su uso1. La inyección de pulsaciones es una de ellas1.
También necesita un motivo para que el objeto se conecte. CISA describe atacantes que se hacen pasar por un nuevo empleado, un técnico de reparaciones o un investigador, y que presentan credenciales7.
El coste de entrada es bajo en algunos ataques afines. Microsoft describe ataques de acceso directo a memoria que suelen durar unos minutos, con hardware y software baratos, vendidos en el comercio, sin desmontar el dispositivo. Un atacante puede conectar un dispositivo de tipo USB durante la pausa del propietario y marcharse con los secretos de la máquina6.
2Lo que ve en la pantalla1 min
Las fuentes citadas aquí no describen la pantalla de la víctima en términos generales. Solo se documenta un detalle: FIN7 utilizó memorias USB maliciosas para abrir el cuadro de diálogo Ejecutar con la combinación Windows + R y luego lanzar un símbolo del sistema3. Una ventana que se abre sola justo después de conectar algo es, por tanto, una señal que hay que tomar en serio.
Las fuentes no dicen si el ataque deja un rastro visible en todos los casos ni cuánto dura. Que no haya ningún indicio en pantalla no prueba, pues, nada. Los equipos de seguridad se apoyan en otras señales: MITRE describe la detección de un nuevo dispositivo reconocido por Windows, seguida poco después de procesos lanzados desde la misma sesión y de una posible inyección de pulsaciones1.
3Bajo el capóEquipos de TI2 min
El principio cabe en una frase: el dispositivo se presenta al ordenador como un teclado, y el ordenador obedece a sus pulsaciones. Las fuentes citadas aquí lo confirman para FIN7, cuyas memorias USB actuaban en algunos casos como teclados virtuales3. No detallan el protocolo técnico ni la velocidad de escritura.
Una vez enviadas las teclas, lo que sigue es habitual. FIN7 empleó estas memorias para lanzar PowerShell y descargar y ejecutar un programa malicioso desde el servidor del atacante3. PowerShell es un entorno de comandos incluido en Windows, que los atacantes pueden utilizar para obtener información y ejecutar código4.
El caso del cable de carga es afín. MITRE señala que los dispositivos móviles y, en algunos casos, los cables de carga USB pueden servir para infectar un ordenador2. Esta mención se refiere a la propagación mediante soportes extraíbles, no a la escritura de pulsaciones.
En cuanto a la defensa, las fuentes destacan dos medidas. La primera es bloquear los dispositivos y accesorios desconocidos mediante la configuración de seguridad1. La segunda es propia de los dispositivos con acceso directo a memoria (Thunderbolt, USB4): por defecto, Windows puede impedir que arranquen los que tienen controladores no compatibles hasta que un usuario autorizado haya iniciado sesión o desbloqueado la pantalla, y un administrador puede cambiar este comportamiento6. Esta protección no cubre FireWire, PCMCIA, CardBus ni ExpressCard6.
4AutopsiasCasos reales1 min
FIN7 y las memorias USB enviadas por correo
FIN7 es un grupo criminal con ánimo de lucro, activo desde 2013. Desde 2020 se ha orientado a la caza mayor, con el uso del ransomware REvil y de su propio servicio, Darkside3.
Según MITRE, actores de FIN7 enviaron por correo postal memorias USB a posibles víctimas. Contenían un programa malicioso que instala varias puertas traseras, a veces con vistas a operaciones de ransomware3. El grupo utilizó también memorias que se comportaban como teclados virtuales para instalar programas maliciosos, así como archivos de texto que se descodifican en comandos de PowerShell3.
En concreto, estas memorias enviaban Windows + R para abrir el cuadro Ejecutar y luego lanzaban un símbolo del sistema3. Otras emularon pulsaciones para iniciar PowerShell y descargar y ejecutar un programa desde el servidor del atacante3.
MITRE remite a artículos de prensa de enero de 2022, entre ellos uno del 7 de enero de 2022 titulado «FBI: FIN7 hackers target US companies with BadUSB devices to install ransomware»3. Las fuentes citadas aquí no describen ni el embalaje de los envíos ni su disfraz de regalo o de correo oficial.
Ficha
- Identificador
- CP-084
- Ala
- 1. Ataques y técnicas
- Competencia Brain
- Proteger los dispositivos (secure_devices)
- Reflejo Brain
- cr-051
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 7 fuentes verificadas el 3 de noviembre de 2026
Fuentes7 fuentes
- MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK®». https://attack.mitre.org/groups/G0046/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1059/001/ (consultado el 3 de noviembre de 2026)
- CISA, «Using Caution with USB Drives | CISA», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/using-caution-usb-drives (consultado el 3 de noviembre de 2026)
- Microsoft, «Kernel DMA Protection». https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt (consultado el 3 de noviembre de 2026)
- CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Cables trampa y memorias que imitan un teclado», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp084_es_2026,
author = {Brain},
title = {Cables trampa y memorias que imitan un teclado},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/cables-trampa-omg-rubber-ducky/},
note = {CC BY 4.0}
}