Cyberpediapar Brain
FRDEEN

Câbles piégés et clés qui imitent un clavier

Un câble ou une clé USB peut se faire passer pour un clavier et taper des commandes à votre place. Voici comment s'en protéger.

En 30 secondes

Où ça arrive
À votre poste, quand un câble, une clé ou un accessoire inconnu est branché sur l'ordinateur, y compris un objet reçu par la poste3.
Ce que veut l'attaquant
Faire exécuter des commandes par la machine, par exemple pour télécharger un logiciel malveillant3.
Le réflexe
Ne brancher que du matériel fourni ou validé par l'entreprise, et remettre tout objet inconnu à l'informatique.
Si c'est déjà fait
Débranchez, ne touchez plus à rien et prévenez l'informatique sans attendre (conseil de bon sens, que les sources citées ici ne donnent pas).

De quoi parle-t-on

Un câble ou une clé USB peut avoir l'air d'un accessoire ordinaire et se comporter comme un clavier. L'ordinateur le prend pour un périphérique de saisie et accepte ce qu'il « tape », sans que la personne devant l'écran ait pressé la moindre touche.

MITRE, qui recense les techniques d'attaque, classe ce procédé parmi les ajouts de matériel : des accessoires ou appareils introduits physiquement dans un système pour y gagner un accès. Elle cite l'injection de frappes au clavier parmi les capacités de produits du commerce et de produits libres1. Cette fiche explique ce que cela change pour un salarié.

Questions directes

Un câble peut-il vraiment taper à ma place ?

Oui. Les sources citées ici décrivent des clés USB malveillantes qui jouent le rôle de claviers virtuels, et l'injection de frappes comme capacité de produits du commerce et libres, utilisés notamment par des équipes d'audit offensif13. Les noms de produits courants dans ce domaine ne figurent pas dans les sources citées ici, sauf le Bash Bunny, utilisé par le groupe DarkVishnya1.

Un antivirus l'arrête-t-il ?

Les sources citées ici ne le disent pas. Elles recommandent de ne pas brancher de clé inconnue, de désactiver l'exécution automatique et de tenir à jour les logiciels de sécurité5. MITRE indique de son côté une mesure de fond : bloquer les appareils et accessoires inconnus par la configuration de sécurité du poste1.

Pourquoi un objet reçu par courrier est-il dangereux ?

Parce que l'attaquant n'a pas besoin d'entrer dans les locaux. MITRE rapporte que des acteurs de FIN7 ont envoyé par la poste des clés USB à des victimes potentielles3. Le CISA ajoute que des attaquants ont infecté des objets pendant leur fabrication, comme des cadres photo numériques ou des clés USB5.

Que faire d'une clé trouvée par terre ?

Ne pas la brancher, même pour voir son contenu ou retrouver son propriétaire. Le CISA demande de la remettre aux personnes compétentes : le personnel de sécurité du lieu ou le service informatique de l'organisation5.

1Dans la peau de l'attaquant1 min

L'attaquant cherche un accès initial. Pour MITRE, un ajout de matériel est plus riche qu'une simple clé de stockage : il apporte à la machine de nouvelles fonctions qui peuvent ensuite être détournées1. L'injection de frappes en fait partie1.

Il lui faut aussi une raison pour que l'objet soit branché. Le CISA décrit des attaquants qui se font passer pour un nouvel employé, un réparateur ou un chercheur, en présentant des justificatifs7.

Le coût d'entrée est faible pour certaines attaques voisines. Microsoft décrit des attaques par accès direct à la mémoire qui prennent souvent quelques minutes, avec du matériel et des logiciels bon marché, vendus dans le commerce, sans démonter l'appareil. Un attaquant peut brancher un appareil de type USB pendant la pause du propriétaire et repartir avec les secrets de la machine6.

2Ce que vous voyez à l'écran1 min

Les sources citées ici ne décrivent pas l'écran de la victime de façon générale. Un seul détail est documenté : FIN7 a utilisé des clés USB malveillantes pour ouvrir la boîte de dialogue Exécuter avec la combinaison Windows + R, puis lancer une invite de commandes3. Une fenêtre qui s'ouvre toute seule juste après un branchement est donc un signal à prendre au sérieux.

Les sources ne disent pas si l'attaque laisse une trace visible dans tous les cas, ni combien de temps elle dure. Une absence d'indice à l'écran ne prouve donc rien. Les équipes de sécurité s'appuient sur d'autres signes : MITRE décrit la détection d'un nouvel appareil reconnu par Windows, suivi peu après de processus lancés par la même session et d'une possible injection de frappes1.

3Sous le capotÉquipes IT2 min

Le principe tient en une phrase : l'appareil se présente à l'ordinateur comme un clavier, et l'ordinateur obéit à ses frappes. Les sources citées ici le confirment pour FIN7, dont certaines clés USB agissaient comme des claviers virtuels3. Elles ne détaillent pas le protocole technique, ni la vitesse de saisie.

Une fois les touches envoyées, la suite est classique. FIN7 a employé ces clés pour lancer PowerShell, télécharger puis exécuter un logiciel malveillant depuis le serveur de l'attaquant3. PowerShell est un environnement de commandes inclus dans Windows, que les attaquants peuvent utiliser pour découvrir des informations et exécuter du code4.

Le cas du câble de recharge est voisin. MITRE note que des appareils mobiles et, dans certains cas, des câbles de recharge USB peuvent servir à infecter un ordinateur2. Cette mention concerne la propagation par supports amovibles, pas la saisie de frappes.

Côté défense, deux mesures ressortent des sources. La première est de bloquer par la configuration de sécurité les appareils et accessoires inconnus1. La seconde est propre aux appareils à accès direct à la mémoire (Thunderbolt, USB4) : Windows peut par défaut empêcher ceux dont les pilotes ne sont pas compatibles de démarrer tant qu'un utilisateur autorisé n'a pas ouvert la session ou déverrouillé l'écran, et un administrateur peut modifier ce comportement6. Cette protection ne couvre pas FireWire, PCMCIA, CardBus ni ExpressCard6.

4AutopsiesCas réels1 min

FIN7 et les clés USB postées

FIN7 est un groupe criminel à but lucratif actif depuis 2013. Depuis 2020, il s'est tourné vers la chasse au gros gibier, avec l'usage du rançongiciel REvil et de son propre service, Darkside3.

Selon MITRE, des acteurs de FIN7 ont posté des clés USB à des victimes potentielles. Elles contenaient un logiciel malveillant qui installe plusieurs portes dérobées, parfois en vue d'opérations de rançongiciel3. Le groupe a aussi utilisé des clés qui se comportaient comme des claviers virtuels pour installer des logiciels malveillants, ainsi que des fichiers texte qui se décodent en commandes PowerShell3.

Dans le détail, ces clés envoyaient Windows + R pour ouvrir la boîte Exécuter, puis lançaient une invite de commandes3. D'autres ont émulé des frappes pour démarrer PowerShell, télécharger et exécuter un programme depuis le serveur de l'attaquant3.

MITRE renvoie à des articles de presse de janvier 2022, dont un du 7 janvier 2022 titré « FBI: FIN7 hackers target US companies with BadUSB devices to install ransomware »3. Les sources citées ici ne décrivent ni l'emballage des envois ni leur déguisement en cadeau ou en courrier officiel.

Fiche

Identifiant
CP-084
Aile
1. Attaques et techniques
Compétence Brain
Sécuriser ses appareils (secure_devices)
Réflexe Brain
cr-051
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
7 sources vérifiées le 3 novembre 2026
Sources7 sources
  1. MITRE ATT&CK, « Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1200/ (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1091/ (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK® ». https://attack.mitre.org/groups/G0046/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1059/001/ (consulté le 3 novembre 2026)
  5. CISA, « Using Caution with USB Drives | CISA », 1 février 2021. https://www.cisa.gov/news-events/news/using-caution-usb-drives (consulté le 3 novembre 2026)
  6. Microsoft, « Kernel DMA Protection ». https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt (consulté le 3 novembre 2026)
  7. CISA, « Avoiding Social Engineering and Phishing Attacks | CISA », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026)

Citer cet article

Brain, « Câbles piégés et clés qui imitent un clavier », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/cables-pieges-omg-rubber-ducky/

BibTeX 
@misc{brain_cp084_fr_2026,
  author = {Brain},
  title = {Câbles piégés et clés qui imitent un clavier},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/cables-pieges-omg-rubber-ducky/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0