--- id: CP-084 slug: cables-pieges-omg-rubber-ducky lang: fr title: Câbles piégés et clés qui imitent un clavier description: Un câble ou une clé USB peut se faire passer pour un clavier et taper des commandes à votre place. Voici comment s'en protéger. canonical_url: https://startbrain.io/cyberpedia/fr/articles/cables-pieges-omg-rubber-ducky/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/cables-pieges-omg-rubber-ducky.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Câbles piégés et clés qui imitent un clavier », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/cables-pieges-omg-rubber-ducky/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-051 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/cables-pieges-omg-rubber-ducky/ en: https://startbrain.io/cyberpedia/en/articles/booby-trapped-cables-hid-keyboard-emulation/ de: https://startbrain.io/cyberpedia/de/articles/praeparierte-kabel-omg-rubber-ducky/ es: https://startbrain.io/cyberpedia/es/articles/cables-trampa-omg-rubber-ducky/ sources: - "n": 1 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 2 title: Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1091/ accessed: "2026-11-03" - "n": 3 title: FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G0046/ accessed: "2026-11-03" - "n": 4 title: "Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1059/001/ accessed: "2026-11-03" - "n": 5 title: Using Caution with USB Drives | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/using-caution-usb-drives published: "2021-02-01" accessed: "2026-11-03" - "n": 6 title: Kernel DMA Protection publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt accessed: "2026-11-03" - "n": 7 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" --- # Câbles piégés et clés qui imitent un clavier Un câble ou une clé USB peut avoir l'air d'un accessoire ordinaire et se comporter comme un clavier. L'ordinateur le prend pour un périphérique de saisie et accepte ce qu'il « tape », sans que la personne devant l'écran ait pressé la moindre touche. MITRE, qui recense les techniques d'attaque, classe ce procédé parmi les ajouts de matériel : des accessoires ou appareils introduits physiquement dans un système pour y gagner un accès. Elle cite l'injection de frappes au clavier parmi les capacités de produits du commerce et de produits libres [1]. Cette fiche explique ce que cela change pour un salarié. ## En 30 secondes - Où ça arrive : à votre poste, quand un câble, une clé ou un accessoire inconnu est branché sur l'ordinateur, y compris un objet reçu par la poste [3]. - Ce que veut l'attaquant : faire exécuter des commandes par la machine, par exemple pour télécharger un logiciel malveillant [3]. - Le réflexe : ne brancher que du matériel fourni ou validé par l'entreprise, et remettre tout objet inconnu à l'informatique. - Si c'est déjà fait : débranchez, ne touchez plus à rien et prévenez l'informatique sans attendre (conseil de bon sens, que les sources citées ici ne donnent pas). ## Questions directes ### Un câble peut-il vraiment taper à ma place ? Oui. Les sources citées ici décrivent des clés USB malveillantes qui jouent le rôle de claviers virtuels, et l'injection de frappes comme capacité de produits du commerce et libres, utilisés notamment par des équipes d'audit offensif [1][3]. Les noms de produits courants dans ce domaine ne figurent pas dans les sources citées ici, sauf le Bash Bunny, utilisé par le groupe DarkVishnya [1]. ### Un antivirus l'arrête-t-il ? Les sources citées ici ne le disent pas. Elles recommandent de ne pas brancher de clé inconnue, de désactiver l'exécution automatique et de tenir à jour les logiciels de sécurité [5]. MITRE indique de son côté une mesure de fond : bloquer les appareils et accessoires inconnus par la configuration de sécurité du poste [1]. ### Pourquoi un objet reçu par courrier est-il dangereux ? Parce que l'attaquant n'a pas besoin d'entrer dans les locaux. MITRE rapporte que des acteurs de FIN7 ont envoyé par la poste des clés USB à des victimes potentielles [3]. Le CISA ajoute que des attaquants ont infecté des objets pendant leur fabrication, comme des cadres photo numériques ou des clés USB [5]. ### Que faire d'une clé trouvée par terre ? Ne pas la brancher, même pour voir son contenu ou retrouver son propriétaire. Le CISA demande de la remettre aux personnes compétentes : le personnel de sécurité du lieu ou le service informatique de l'organisation [5]. ## Dans la peau de l'attaquant L'attaquant cherche un accès initial. Pour MITRE, un ajout de matériel est plus riche qu'une simple clé de stockage : il apporte à la machine de nouvelles fonctions qui peuvent ensuite être détournées [1]. L'injection de frappes en fait partie [1]. Il lui faut aussi une raison pour que l'objet soit branché. Le CISA décrit des attaquants qui se font passer pour un nouvel employé, un réparateur ou un chercheur, en présentant des justificatifs [7]. Le coût d'entrée est faible pour certaines attaques voisines. Microsoft décrit des attaques par accès direct à la mémoire qui prennent souvent quelques minutes, avec du matériel et des logiciels bon marché, vendus dans le commerce, sans démonter l'appareil. Un attaquant peut brancher un appareil de type USB pendant la pause du propriétaire et repartir avec les secrets de la machine [6]. ## Ce que vous voyez à l'écran Les sources citées ici ne décrivent pas l'écran de la victime de façon générale. Un seul détail est documenté : FIN7 a utilisé des clés USB malveillantes pour ouvrir la boîte de dialogue Exécuter avec la combinaison Windows + R, puis lancer une invite de commandes [3]. Une fenêtre qui s'ouvre toute seule juste après un branchement est donc un signal à prendre au sérieux. Les sources ne disent pas si l'attaque laisse une trace visible dans tous les cas, ni combien de temps elle dure. Une absence d'indice à l'écran ne prouve donc rien. Les équipes de sécurité s'appuient sur d'autres signes : MITRE décrit la détection d'un nouvel appareil reconnu par Windows, suivi peu après de processus lancés par la même session et d'une possible injection de frappes [1]. ## Sous le capot Le principe tient en une phrase : l'appareil se présente à l'ordinateur comme un clavier, et l'ordinateur obéit à ses frappes. Les sources citées ici le confirment pour FIN7, dont certaines clés USB agissaient comme des claviers virtuels [3]. Elles ne détaillent pas le protocole technique, ni la vitesse de saisie. Une fois les touches envoyées, la suite est classique. FIN7 a employé ces clés pour lancer PowerShell, télécharger puis exécuter un logiciel malveillant depuis le serveur de l'attaquant [3]. PowerShell est un environnement de commandes inclus dans Windows, que les attaquants peuvent utiliser pour découvrir des informations et exécuter du code [4]. Le cas du câble de recharge est voisin. MITRE note que des appareils mobiles et, dans certains cas, des câbles de recharge USB peuvent servir à infecter un ordinateur [2]. Cette mention concerne la propagation par supports amovibles, pas la saisie de frappes. Côté défense, deux mesures ressortent des sources. La première est de bloquer par la configuration de sécurité les appareils et accessoires inconnus [1]. La seconde est propre aux appareils à accès direct à la mémoire (Thunderbolt, USB4) : Windows peut par défaut empêcher ceux dont les pilotes ne sont pas compatibles de démarrer tant qu'un utilisateur autorisé n'a pas ouvert la session ou déverrouillé l'écran, et un administrateur peut modifier ce comportement [6]. Cette protection ne couvre pas FireWire, PCMCIA, CardBus ni ExpressCard [6]. ## Autopsies ### FIN7 et les clés USB postées FIN7 est un groupe criminel à but lucratif actif depuis 2013. Depuis 2020, il s'est tourné vers la chasse au gros gibier, avec l'usage du rançongiciel REvil et de son propre service, Darkside [3]. Selon MITRE, des acteurs de FIN7 ont posté des clés USB à des victimes potentielles. Elles contenaient un logiciel malveillant qui installe plusieurs portes dérobées, parfois en vue d'opérations de rançongiciel [3]. Le groupe a aussi utilisé des clés qui se comportaient comme des claviers virtuels pour installer des logiciels malveillants, ainsi que des fichiers texte qui se décodent en commandes PowerShell [3]. Dans le détail, ces clés envoyaient Windows + R pour ouvrir la boîte Exécuter, puis lançaient une invite de commandes [3]. D'autres ont émulé des frappes pour démarrer PowerShell, télécharger et exécuter un programme depuis le serveur de l'attaquant [3]. MITRE renvoie à des articles de presse de janvier 2022, dont un du 7 janvier 2022 titré « FBI: FIN7 hackers target US companies with BadUSB devices to install ransomware » [3]. Les sources citées ici ne décrivent ni l'emballage des envois ni leur déguisement en cadeau ou en courrier officiel. ## Sources 1. MITRE ATT&CK, « Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1200/ (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1091/ (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK® ». https://attack.mitre.org/groups/G0046/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1059/001/ (consulté le 3 novembre 2026) 5. CISA, « Using Caution with USB Drives | CISA », 1 février 2021. https://www.cisa.gov/news-events/news/using-caution-usb-drives (consulté le 3 novembre 2026) 6. Microsoft, « Kernel DMA Protection ». https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt (consulté le 3 novembre 2026) 7. CISA, « Avoiding Social Engineering and Phishing Attacks | CISA », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/cables-pieges-omg-rubber-ducky/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.