Cyberpediadoor Brain
NLDEENESFRIT

Valstrikkabels en usb-sticks die zich als toetsenbord voordoen

Een usb-kabel of usb-stick kan zich voordoen als toetsenbord en in uw plaats commando's intypen. Zo beschermt u zich ertegen.

In 30 seconden

Waar het gebeurt
Op uw werkplek, wanneer een onbekende kabel, stick of ander accessoire op de computer wordt aangesloten, ook als het voorwerp per post is ontvangen3.
Wat de aanvaller wil
De machine commando's laten uitvoeren, bijvoorbeeld om malware te downloaden3.
De reflex
Sluit alleen hardware aan die het bedrijf heeft geleverd of goedgekeurd, en geef elk onbekend voorwerp af bij de IT-afdeling.
Als het al is gebeurd
Koppel los, raak niets meer aan en waarschuw de IT-afdeling meteen (een advies uit het gezond verstand, dat de hier aangehaalde bronnen niet geven).

Waar gaat het over

Een usb-kabel of usb-stick kan eruitzien als een gewoon accessoire en zich gedragen als een toetsenbord. De computer houdt het voor een invoerapparaat en accepteert wat het "typt", zonder dat de persoon achter het scherm één toets heeft ingedrukt.

MITRE, dat aanvalstechnieken inventariseert, rekent deze methode tot de hardware-toevoegingen: accessoires of apparaten die fysiek in een systeem worden gebracht om toegang te krijgen. MITRE noemt het injecteren van toetsaanslagen onder de mogelijkheden van commerciële en vrije producten1. Dit artikel legt uit wat dat voor een medewerker betekent.

Directe vragen

Kan een kabel echt in mijn plaats typen?

Ja. De hier aangehaalde bronnen beschrijven kwaadaardige usb-sticks die als virtueel toetsenbord fungeren, en het injecteren van toetsaanslagen als mogelijkheid van commerciële en vrije producten, die onder meer door offensieve auditteams worden gebruikt13. De namen van gangbare producten op dit gebied staan niet in de hier aangehaalde bronnen, behalve de Bash Bunny, die de groep DarkVishnya gebruikte1.

Houdt een antivirusprogramma het tegen?

De hier aangehaalde bronnen zeggen daar niets over. Ze raden aan geen onbekende stick aan te sluiten, automatisch uitvoeren uit te schakelen en beveiligingssoftware bij te houden5. MITRE noemt zelf een maatregel aan de basis: onbekende apparaten en accessoires blokkeren via de beveiligingsconfiguratie van de werkplek1.

Waarom is een voorwerp dat per post komt gevaarlijk?

Omdat de aanvaller het gebouw niet in hoeft. MITRE meldt dat actoren van FIN7 usb-sticks per post naar mogelijke slachtoffers hebben gestuurd3. CISA voegt eraan toe dat aanvallers voorwerpen tijdens de fabricage hebben geïnfecteerd, zoals digitale fotolijstjes of usb-sticks5.

Wat doe ik met een stick die ik op de grond vind?

Sluit hem niet aan, ook niet om de inhoud te bekijken of de eigenaar te vinden. CISA vraagt om hem af te geven aan de bevoegde personen: het beveiligingspersoneel van de locatie of de IT-afdeling van de organisatie5.

1In de huid van de aanvaller1 min

De aanvaller zoekt een eerste toegang. Volgens MITRE is een hardware-toevoeging veelzijdiger dan een gewone opslagstick: ze geeft de machine nieuwe functies die daarna kunnen worden misbruikt1. Het injecteren van toetsaanslagen is er een van1.

Hij heeft ook een reden nodig waarom het voorwerp wordt aangesloten. CISA beschrijft aanvallers die zich voordoen als nieuwe werknemer, reparateur of onderzoeker en daarbij legitimatie tonen7.

Bij sommige verwante aanvallen is de drempel laag. Microsoft beschrijft aanvallen via direct geheugentoegang die vaak maar enkele minuten duren, met goedkope hardware en software uit de handel, zonder het apparaat uit elkaar te halen. Een aanvaller kan tijdens de pauze van de eigenaar een apparaat van het usb-type aansluiten en vertrekken met de geheimen van de machine6.

2Wat u op het scherm ziet1 min

De hier aangehaalde bronnen beschrijven het scherm van het slachtoffer niet in algemene zin. Eén detail is gedocumenteerd: FIN7 gebruikte kwaadaardige usb-sticks om met de toetsencombinatie Windows + R het dialoogvenster Uitvoeren te openen en daarna een opdrachtprompt te starten3. Een venster dat vanzelf opengaat vlak na het aansluiten van iets is dus een signaal om serieus te nemen.

De bronnen zeggen niet of de aanval altijd een zichtbaar spoor achterlaat, noch hoe lang ze duurt. Een scherm zonder enige aanwijzing bewijst dus niets. Beveiligingsteams steunen op andere tekenen: MITRE beschrijft het opsporen van een nieuw apparaat dat Windows herkent, kort daarna gevolgd door processen die vanuit dezelfde sessie starten en mogelijk het injecteren van toetsaanslagen1.

3Onder de motorkapIT-teams1 min

Het principe past in één zin: het apparaat meldt zich bij de computer als toetsenbord, en de computer gehoorzaamt aan de toetsaanslagen. De hier aangehaalde bronnen bevestigen dat voor FIN7, van wie sommige usb-sticks als virtueel toetsenbord fungeerden3. Ze geven geen details over het technische protocol of de typsnelheid.

Zodra de toetsen zijn verzonden, is het vervolg gebruikelijk. FIN7 gebruikte deze sticks om PowerShell te starten en vervolgens malware van de server van de aanvaller te downloaden en uit te voeren3. PowerShell is een opdrachtomgeving die in Windows zit en die aanvallers kunnen gebruiken om informatie te achterhalen en code uit te voeren4.

Het geval van de oplaadkabel ligt dicht bij het voorgaande. MITRE merkt op dat mobiele apparaten en in sommige gevallen usb-oplaadkabels kunnen dienen om een computer te infecteren2. Die vermelding gaat over verspreiding via verwisselbare media, niet over het invoeren van toetsaanslagen.

Aan de verdedigingskant springen twee maatregelen eruit. De eerste is onbekende apparaten en accessoires te blokkeren via de beveiligingsconfiguratie1. De tweede geldt alleen voor apparaten met direct geheugentoegang (Thunderbolt, USB4): Windows kan standaard voorkomen dat apparaten met niet-compatibele stuurprogramma's starten zolang een bevoegde gebruiker niet is aangemeld of het scherm niet heeft ontgrendeld, en een beheerder kan dit gedrag aanpassen6. Deze bescherming dekt FireWire, PCMCIA, CardBus en ExpressCard niet6.

4IncidentanalysesEchte gevallen1 min

FIN7 en de per post verstuurde usb-sticks

FIN7 is een criminele groep met winstoogmerk die sinds 2013 actief is. Sinds 2020 richt de groep zich op big game hunting, met het gebruik van de ransomware REvil en een eigen dienst, Darkside3.

Volgens MITRE hebben actoren van FIN7 usb-sticks naar mogelijke slachtoffers gestuurd. Daarop stond malware die meerdere achterdeurtjes installeert, soms met het oog op ransomware-operaties3. De groep gebruikte ook sticks die zich als virtueel toetsenbord gedroegen om malware te installeren, en tekstbestanden die zich laten decoderen tot PowerShell-commando's3.

In detail stuurden deze sticks Windows + R om het venster Uitvoeren te openen en startten daarna een opdrachtprompt3. Andere emuleerden toetsaanslagen om PowerShell te starten en een programma van de server van de aanvaller te downloaden en uit te voeren3.

MITRE verwijst naar persartikelen van januari 2022, onder meer een van 7 januari 2022 met de titel "FBI: FIN7 hackers target US companies with BadUSB devices to install ransomware"3. De hier aangehaalde bronnen beschrijven noch de verpakking van de zendingen, noch dat ze als cadeau of officiële post werden vermomd.

Fiche

Identificatie
CP-084
Vleugel
1. Aanvallen en technieken
Brain-competentie
Apparaten beveiligen (secure_devices)
Brain-reflex
cr-051
Schema
G3 · Anatomische doorsnede
Talen
de, en, es, fr, it, nl
Bronnen
7 bronnen gecontroleerd op 3 november 2026
Bronnen7 bronnen
  1. MITRE ATT&CK, “Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (geraadpleegd op 3 november 2026)
  2. MITRE ATT&CK, “Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1091/ (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G0046/ (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1059/001/ (geraadpleegd op 3 november 2026)
  5. CISA, “Using Caution with USB Drives | CISA”, 1 februari 2021. https://www.cisa.gov/news-events/news/using-caution-usb-drives (geraadpleegd op 3 november 2026)
  6. Microsoft, “Kernel DMA Protection”. https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt (geraadpleegd op 3 november 2026)
  7. CISA, “Avoiding Social Engineering and Phishing Attacks | CISA”, 1 februari 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Valstrikkabels en usb-sticks die zich als toetsenbord voordoen”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/valstrikkabels-omg-rubber-ducky/

BibTeX 
@misc{brain_cp084_nl_2026,
  author = {Brain},
  title = {Valstrikkabels en usb-sticks die zich als toetsenbord voordoen},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/valstrikkabels-omg-rubber-ducky/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0