--- id: CP-084 slug: cavi-trappola-omg-rubber-ducky lang: it title: Cavi trappola e chiavette che imitano una tastiera description: Un cavo o una chiavetta USB può spacciarsi per una tastiera e digitare comandi al posto Suo. Ecco come proteggersi. canonical_url: https://startbrain.io/cyberpedia/it/articles/cavi-trappola-omg-rubber-ducky/ markdown_url: https://startbrain.io/cyberpedia/it/articles/cavi-trappola-omg-rubber-ducky.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Cavi trappola e chiavette che imitano una tastiera», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/cavi-trappola-omg-rubber-ducky/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-051 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/cavi-trappola-omg-rubber-ducky/ fr: https://startbrain.io/cyberpedia/fr/articles/cables-pieges-omg-rubber-ducky/ en: https://startbrain.io/cyberpedia/en/articles/booby-trapped-cables-hid-keyboard-emulation/ de: https://startbrain.io/cyberpedia/de/articles/praeparierte-kabel-omg-rubber-ducky/ es: https://startbrain.io/cyberpedia/es/articles/cables-trampa-omg-rubber-ducky/ nl: https://startbrain.io/cyberpedia/nl/articles/valstrikkabels-omg-rubber-ducky/ sources: - "n": 1 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 2 title: Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1091/ accessed: "2026-11-03" - "n": 3 title: FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G0046/ accessed: "2026-11-03" - "n": 4 title: "Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1059/001/ accessed: "2026-11-03" - "n": 5 title: Using Caution with USB Drives | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/using-caution-usb-drives published: "2021-02-01" accessed: "2026-11-03" - "n": 6 title: Kernel DMA Protection publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt accessed: "2026-11-03" - "n": 7 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" --- # Cavi trappola e chiavette che imitano una tastiera Un cavo o una chiavetta USB può sembrare un normale accessorio e comportarsi come una tastiera. Il computer lo scambia per un dispositivo di input e accetta ciò che "digita", senza che la persona davanti allo schermo abbia premuto alcun tasto. MITRE, che cataloga le tecniche di attacco, inserisce questo metodo tra le aggiunte di hardware: accessori o dispositivi introdotti fisicamente in un sistema per ottenere un accesso. Tra le capacità di prodotti commerciali e open source cita l'iniezione di sequenze di tasti [1]. Questa scheda spiega che cosa significa per un dipendente. ## In 30 secondi - Dove accade: alla Sua postazione, quando un cavo, una chiavetta o un accessorio sconosciuto viene collegato al computer, compreso un oggetto ricevuto per posta [3]. - Che cosa vuole l'attaccante: far eseguire comandi alla macchina, per esempio per scaricare un software dannoso [3]. - Il riflesso: Il riflesso: collegare solo hardware fornito o approvato dall'azienda e consegnare al reparto IT qualsiasi oggetto sconosciuto. - Se è già successo: scolleghi il dispositivo, non tocchi altro e avvisi subito il reparto IT (consiglio di buon senso, che le fonti citate qui non danno). ## Domande dirette ### Un cavo può davvero digitare al posto mio? Sì. Le fonti citate qui descrivono chiavette USB dannose che fanno da tastiere virtuali e l'iniezione di sequenze di tasti come capacità di prodotti commerciali e open source, usati in particolare dai team di audit offensivo [1][3]. I nomi dei prodotti più diffusi in questo ambito non compaiono nelle fonti citate qui, a eccezione del Bash Bunny, usato dal gruppo DarkVishnya [1]. ### Un antivirus lo ferma? Le fonti citate qui non lo dicono. Raccomandano di non collegare chiavette sconosciute, di disattivare l'esecuzione automatica e di tenere aggiornati i software di sicurezza [5]. MITRE indica da parte sua una misura di fondo: bloccare dispositivi e accessori sconosciuti tramite la configurazione di sicurezza della postazione [1]. ### Perché un oggetto ricevuto per posta è pericoloso? Perché l'attaccante non ha bisogno di entrare nei locali. MITRE riferisce che alcuni attori di FIN7 hanno spedito per posta chiavette USB a potenziali vittime [3]. CISA aggiunge che alcuni attaccanti hanno infettato oggetti durante la fabbricazione, come cornici digitali o chiavette USB [5]. ### Che cosa fare di una chiavetta trovata per terra? Non collegarla, nemmeno per vederne il contenuto o per ritrovare il proprietario. CISA chiede di consegnarla alle persone competenti: il personale di sicurezza del luogo o il servizio informatico dell'organizzazione [5]. ## Nei panni dell'attaccante L'attaccante cerca un accesso iniziale. Per MITRE un'aggiunta di hardware è più ricca di una semplice chiavetta di archiviazione: dà alla macchina nuove funzioni che possono poi essere sfruttate in modo improprio [1]. L'iniezione di sequenze di tasti ne fa parte [1]. Gli serve anche un motivo per cui l'oggetto venga collegato. CISA descrive attaccanti che si fingono un nuovo dipendente, un tecnico o un ricercatore, esibendo credenziali [7]. Il costo d'ingresso è basso per alcuni attacchi affini. Microsoft descrive attacchi tramite accesso diretto alla memoria che spesso richiedono pochi minuti, con hardware e software economici, venduti in commercio, senza smontare il dispositivo. Un attaccante può collegare un dispositivo di tipo USB durante la pausa del proprietario e andarsene con i segreti della macchina [6]. ## Cosa si vede sullo schermo Le fonti citate qui non descrivono in termini generali lo schermo della vittima. Un solo dettaglio è documentato: FIN7 ha usato chiavette USB dannose per aprire la finestra Esegui con la combinazione Windows + R, poi per avviare un prompt dei comandi [3]. Una finestra che si apre da sola subito dopo un collegamento è quindi un segnale da prendere sul serio. Le fonti non dicono se l'attacco lasci una traccia visibile in ogni caso, né quanto duri. L'assenza di indizi sullo schermo non prova dunque nulla. I team di sicurezza si basano su altri segnali: MITRE descrive il rilevamento di un nuovo dispositivo riconosciuto da Windows, seguito poco dopo da processi avviati dalla stessa sessione e da una possibile iniezione di sequenze di tasti [1]. ## Sotto il cofano Il principio si riassume in una frase: il dispositivo si presenta al computer come una tastiera e il computer obbedisce ai suoi tasti. Le fonti citate qui lo confermano per FIN7, alcune delle cui chiavette USB agivano come tastiere virtuali [3]. Non dettagliano il protocollo tecnico né la velocità di digitazione. Una volta inviati i tasti, il seguito è classico. FIN7 ha usato queste chiavette per avviare PowerShell, scaricare ed eseguire un software dannoso dal server dell'attaccante [3]. PowerShell è un ambiente a riga di comando incluso in Windows, che gli attaccanti possono usare per raccogliere informazioni ed eseguire codice [4]. Il caso del cavo di ricarica è affine. MITRE osserva che dispositivi mobili e, in alcuni casi, cavi di ricarica USB possono servire a infettare un computer [2]. Questa menzione riguarda la diffusione tramite supporti rimovibili, non l'immissione di tasti. Sul fronte della difesa, dalle fonti emergono due misure. La prima è bloccare dispositivi e accessori sconosciuti tramite la configurazione di sicurezza [1]. La seconda riguarda solo i dispositivi con accesso diretto alla memoria (Thunderbolt, USB4): per impostazione predefinita Windows può impedire l'avvio di quelli con driver non compatibili finché un utente autorizzato non ha effettuato l'accesso o sbloccato lo schermo, e un amministratore può modificare questo comportamento [6]. Questa protezione non copre FireWire, PCMCIA, CardBus né ExpressCard [6]. ## Autopsie ### FIN7 e le chiavette USB spedite per posta FIN7 è un gruppo criminale a scopo di lucro attivo dal 2013. Dal 2020 si è orientato alla caccia grossa, con l'uso del ransomware REvil e di un proprio servizio, Darkside [3]. Secondo MITRE, alcuni attori di FIN7 hanno spedito per posta chiavette USB a potenziali vittime. Contenevano un software dannoso che installa diverse backdoor, a volte in vista di operazioni di ransomware [3]. Il gruppo ha usato anche chiavette che si comportavano come tastiere virtuali per installare software dannoso, oltre a file di testo che si decodificano in comandi PowerShell [3]. Nel dettaglio, queste chiavette inviavano Windows + R per aprire la finestra Esegui, poi avviavano un prompt dei comandi [3]. Altre hanno emulato la digitazione per avviare PowerShell, scaricare ed eseguire un programma dal server dell'attaccante [3]. MITRE rimanda ad articoli di stampa del gennaio 2022, tra cui uno del 7 gennaio 2022 intitolato "FBI: FIN7 hackers target US companies with BadUSB devices to install ransomware" [3]. Le fonti citate qui non descrivono né l'imballaggio delle spedizioni né il loro camuffamento da regalo o da posta ufficiale. ## Fonti 1. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK®». https://attack.mitre.org/groups/G0046/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1059/001/ (consultato il 3 novembre 2026) 5. CISA, «Using Caution with USB Drives | CISA», 1 febbraio 2021. https://www.cisa.gov/news-events/news/using-caution-usb-drives (consultato il 3 novembre 2026) 6. Microsoft, «Kernel DMA Protection». https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt (consultato il 3 novembre 2026) 7. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/cavi-trappola-omg-rubber-ducky/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.