Cavi trappola e chiavette che imitano una tastiera
Un cavo o una chiavetta USB può spacciarsi per una tastiera e digitare comandi al posto Suo. Ecco come proteggersi.
In 30 secondi
- Dove accade
- Alla Sua postazione, quando un cavo, una chiavetta o un accessorio sconosciuto viene collegato al computer, compreso un oggetto ricevuto per posta3.
- Che cosa vuole l'attaccante
- Far eseguire comandi alla macchina, per esempio per scaricare un software dannoso3.
- Il riflesso
- Il riflesso: collegare solo hardware fornito o approvato dall'azienda e consegnare al reparto IT qualsiasi oggetto sconosciuto.
- Se è già successo
- Scolleghi il dispositivo, non tocchi altro e avvisi subito il reparto IT (consiglio di buon senso, che le fonti citate qui non danno).
Di cosa si tratta
Un cavo o una chiavetta USB può sembrare un normale accessorio e comportarsi come una tastiera. Il computer lo scambia per un dispositivo di input e accetta ciò che "digita", senza che la persona davanti allo schermo abbia premuto alcun tasto.
MITRE, che cataloga le tecniche di attacco, inserisce questo metodo tra le aggiunte di hardware: accessori o dispositivi introdotti fisicamente in un sistema per ottenere un accesso. Tra le capacità di prodotti commerciali e open source cita l'iniezione di sequenze di tasti1. Questa scheda spiega che cosa significa per un dipendente.
Domande dirette
Un cavo può davvero digitare al posto mio?
Sì. Le fonti citate qui descrivono chiavette USB dannose che fanno da tastiere virtuali e l'iniezione di sequenze di tasti come capacità di prodotti commerciali e open source, usati in particolare dai team di audit offensivo13. I nomi dei prodotti più diffusi in questo ambito non compaiono nelle fonti citate qui, a eccezione del Bash Bunny, usato dal gruppo DarkVishnya1.
Un antivirus lo ferma?
Le fonti citate qui non lo dicono. Raccomandano di non collegare chiavette sconosciute, di disattivare l'esecuzione automatica e di tenere aggiornati i software di sicurezza5. MITRE indica da parte sua una misura di fondo: bloccare dispositivi e accessori sconosciuti tramite la configurazione di sicurezza della postazione1.
Perché un oggetto ricevuto per posta è pericoloso?
Perché l'attaccante non ha bisogno di entrare nei locali. MITRE riferisce che alcuni attori di FIN7 hanno spedito per posta chiavette USB a potenziali vittime3. CISA aggiunge che alcuni attaccanti hanno infettato oggetti durante la fabbricazione, come cornici digitali o chiavette USB5.
Che cosa fare di una chiavetta trovata per terra?
Non collegarla, nemmeno per vederne il contenuto o per ritrovare il proprietario. CISA chiede di consegnarla alle persone competenti: il personale di sicurezza del luogo o il servizio informatico dell'organizzazione5.
1Nei panni dell'attaccante1 min
L'attaccante cerca un accesso iniziale. Per MITRE un'aggiunta di hardware è più ricca di una semplice chiavetta di archiviazione: dà alla macchina nuove funzioni che possono poi essere sfruttate in modo improprio1. L'iniezione di sequenze di tasti ne fa parte1.
Gli serve anche un motivo per cui l'oggetto venga collegato. CISA descrive attaccanti che si fingono un nuovo dipendente, un tecnico o un ricercatore, esibendo credenziali7.
Il costo d'ingresso è basso per alcuni attacchi affini. Microsoft descrive attacchi tramite accesso diretto alla memoria che spesso richiedono pochi minuti, con hardware e software economici, venduti in commercio, senza smontare il dispositivo. Un attaccante può collegare un dispositivo di tipo USB durante la pausa del proprietario e andarsene con i segreti della macchina6.
2Cosa si vede sullo schermo1 min
Le fonti citate qui non descrivono in termini generali lo schermo della vittima. Un solo dettaglio è documentato: FIN7 ha usato chiavette USB dannose per aprire la finestra Esegui con la combinazione Windows + R, poi per avviare un prompt dei comandi3. Una finestra che si apre da sola subito dopo un collegamento è quindi un segnale da prendere sul serio.
Le fonti non dicono se l'attacco lasci una traccia visibile in ogni caso, né quanto duri. L'assenza di indizi sullo schermo non prova dunque nulla. I team di sicurezza si basano su altri segnali: MITRE descrive il rilevamento di un nuovo dispositivo riconosciuto da Windows, seguito poco dopo da processi avviati dalla stessa sessione e da una possibile iniezione di sequenze di tasti1.
3Sotto il cofanoTeam IT1 min
Il principio si riassume in una frase: il dispositivo si presenta al computer come una tastiera e il computer obbedisce ai suoi tasti. Le fonti citate qui lo confermano per FIN7, alcune delle cui chiavette USB agivano come tastiere virtuali3. Non dettagliano il protocollo tecnico né la velocità di digitazione.
Una volta inviati i tasti, il seguito è classico. FIN7 ha usato queste chiavette per avviare PowerShell, scaricare ed eseguire un software dannoso dal server dell'attaccante3. PowerShell è un ambiente a riga di comando incluso in Windows, che gli attaccanti possono usare per raccogliere informazioni ed eseguire codice4.
Il caso del cavo di ricarica è affine. MITRE osserva che dispositivi mobili e, in alcuni casi, cavi di ricarica USB possono servire a infettare un computer2. Questa menzione riguarda la diffusione tramite supporti rimovibili, non l'immissione di tasti.
Sul fronte della difesa, dalle fonti emergono due misure. La prima è bloccare dispositivi e accessori sconosciuti tramite la configurazione di sicurezza1. La seconda riguarda solo i dispositivi con accesso diretto alla memoria (Thunderbolt, USB4): per impostazione predefinita Windows può impedire l'avvio di quelli con driver non compatibili finché un utente autorizzato non ha effettuato l'accesso o sbloccato lo schermo, e un amministratore può modificare questo comportamento6. Questa protezione non copre FireWire, PCMCIA, CardBus né ExpressCard6.
4AutopsieCasi reali1 min
FIN7 e le chiavette USB spedite per posta
FIN7 è un gruppo criminale a scopo di lucro attivo dal 2013. Dal 2020 si è orientato alla caccia grossa, con l'uso del ransomware REvil e di un proprio servizio, Darkside3.
Secondo MITRE, alcuni attori di FIN7 hanno spedito per posta chiavette USB a potenziali vittime. Contenevano un software dannoso che installa diverse backdoor, a volte in vista di operazioni di ransomware3. Il gruppo ha usato anche chiavette che si comportavano come tastiere virtuali per installare software dannoso, oltre a file di testo che si decodificano in comandi PowerShell3.
Nel dettaglio, queste chiavette inviavano Windows + R per aprire la finestra Esegui, poi avviavano un prompt dei comandi3. Altre hanno emulato la digitazione per avviare PowerShell, scaricare ed eseguire un programma dal server dell'attaccante3.
MITRE rimanda ad articoli di stampa del gennaio 2022, tra cui uno del 7 gennaio 2022 intitolato "FBI: FIN7 hackers target US companies with BadUSB devices to install ransomware"3. Le fonti citate qui non descrivono né l'imballaggio delle spedizioni né il loro camuffamento da regalo o da posta ufficiale.
Scheda
- Identificativo
- CP-084
- Ala
- 1. Attacchi e tecniche
- Competenza Brain
- Proteggere i dispositivi (secure_devices)
- Riflesso Brain
- cr-051
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 7 fonti verificate il 3 novembre 2026
Fonti7 fonti
- MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK®». https://attack.mitre.org/groups/G0046/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1059/001/ (consultato il 3 novembre 2026)
- CISA, «Using Caution with USB Drives | CISA», 1 febbraio 2021. https://www.cisa.gov/news-events/news/using-caution-usb-drives (consultato il 3 novembre 2026)
- Microsoft, «Kernel DMA Protection». https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt (consultato il 3 novembre 2026)
- CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 febbraio 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Cavi trappola e chiavette che imitano una tastiera», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp084_it_2026,
author = {Brain},
title = {Cavi trappola e chiavette che imitano una tastiera},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/cavi-trappola-omg-rubber-ducky/},
note = {CC BY 4.0}
}