--- id: CP-084 slug: kable-pulapki-omg-rubber-ducky lang: pl title: Podstawione kable i urządzenia udające klawiaturę description: Kabel lub pendrive USB może udawać klawiaturę i wpisywać polecenia w Pana/Pani imieniu. Oto jak się przed tym chronić. canonical_url: https://startbrain.io/cyberpedia/pl/articles/kable-pulapki-omg-rubber-ducky/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/kable-pulapki-omg-rubber-ducky.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Podstawione kable i urządzenia udające klawiaturę”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/kable-pulapki-omg-rubber-ducky/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-051 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/kable-pulapki-omg-rubber-ducky/ fr: https://startbrain.io/cyberpedia/fr/articles/cables-pieges-omg-rubber-ducky/ en: https://startbrain.io/cyberpedia/en/articles/booby-trapped-cables-hid-keyboard-emulation/ de: https://startbrain.io/cyberpedia/de/articles/praeparierte-kabel-omg-rubber-ducky/ es: https://startbrain.io/cyberpedia/es/articles/cables-trampa-omg-rubber-ducky/ it: https://startbrain.io/cyberpedia/it/articles/cavi-trappola-omg-rubber-ducky/ nl: https://startbrain.io/cyberpedia/nl/articles/valstrikkabels-omg-rubber-ducky/ pt: https://startbrain.io/cyberpedia/pt/articles/cabos-armadilhados-omg-rubber-ducky/ sources: - "n": 1 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 2 title: Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1091/ accessed: "2026-11-03" - "n": 3 title: FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G0046/ accessed: "2026-11-03" - "n": 4 title: "Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1059/001/ accessed: "2026-11-03" - "n": 5 title: Using Caution with USB Drives | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/using-caution-usb-drives published: "2021-02-01" accessed: "2026-11-03" - "n": 6 title: Kernel DMA Protection publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt accessed: "2026-11-03" - "n": 7 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" --- # Podstawione kable i urządzenia udające klawiaturę Kabel lub pendrive USB może wyglądać jak zwykły akcesorium, a zachowywać się jak klawiatura. Komputer traktuje go jak urządzenie wejściowe i przyjmuje to, co ono „wpisuje", mimo że osoba przy ekranie nie nacisnęła żadnego klawisza. MITRE, które katalogizuje techniki ataków, zalicza ten sposób do dodatków sprzętowych: akcesoriów lub urządzeń fizycznie wprowadzonych do systemu w celu uzyskania dostępu. Wśród możliwości produktów komercyjnych i otwartych wymienia wstrzykiwanie naciśnięć klawiszy [1]. Ten artykuł wyjaśnia, co to oznacza dla pracownika. ## W 30 sekund - Gdzie to się zdarza: na Pana/Pani stanowisku pracy, gdy do komputera zostanie podłączony nieznany kabel, pendrive lub akcesorium, także przedmiot otrzymany pocztą [3]. - Czego chce atakujący: sprawić, by komputer wykonał polecenia, na przykład pobrał złośliwe oprogramowanie [3]. - Odruch: podłączać wyłącznie sprzęt dostarczony lub zatwierdzony przez firmę, a każdy nieznany przedmiot oddać do działu IT. - Jeśli to już się stało: proszę odłączyć urządzenie, niczego więcej nie dotykać i niezwłocznie powiadomić dział IT (zdroworozsądkowa rada, której nie podają cytowane tu źródła). ## Pytania wprost ### Czy kabel naprawdę może pisać za mnie? Tak. Cytowane tu źródła opisują złośliwe pendrivy USB, które pełnią rolę wirtualnych klawiatur, oraz wstrzykiwanie naciśnięć klawiszy jako możliwość produktów komercyjnych i otwartych, używanych między innymi przez zespoły przeprowadzające audyt ofensywny [1][3]. Nazw popularnych produktów w tej dziedzinie cytowane tu źródła nie podają, z wyjątkiem Bash Bunny, używanego przez grupę DarkVishnya [1]. ### Czy program antywirusowy to zatrzyma? Cytowane tu źródła tego nie mówią. Zalecają, by nie podłączać nieznanego pendrive'a, wyłączyć automatyczne uruchamianie i aktualizować oprogramowanie zabezpieczające [5]. MITRE ze swojej strony wskazuje środek podstawowy: blokowanie nieznanych urządzeń i akcesoriów przez konfigurację zabezpieczeń stanowiska [1]. ### Dlaczego przedmiot otrzymany pocztą jest niebezpieczny? Ponieważ atakujący nie musi wchodzić do siedziby firmy. MITRE podaje, że osoby z grupy FIN7 wysyłały pocztą pendrivy USB potencjalnym ofiarom [3]. CISA dodaje, że atakujący zainfekowali przedmioty w trakcie produkcji, takie jak cyfrowe ramki na zdjęcia czy pendrivy USB [5]. ### Co zrobić z pendrivem znalezionym na ziemi? Nie podłączać go, nawet po to, by zobaczyć zawartość lub odnaleźć właściciela. CISA zaleca przekazać go właściwym osobom: pracownikom ochrony miejsca lub działowi IT organizacji [5]. ## W skórze atakującego Atakujący szuka początkowego dostępu. Według MITRE dodatek sprzętowy jest czymś więcej niż zwykły nośnik danych: daje komputerowi nowe funkcje, które można następnie wykorzystać do złych celów [1]. Wstrzykiwanie naciśnięć klawiszy jest jedną z nich [1]. Potrzebuje też powodu, dla którego przedmiot zostanie podłączony. CISA opisuje atakujących, którzy podają się za nowego pracownika, serwisanta lub badacza i okazują dokumenty potwierdzające tożsamość [7]. Próg wejścia jest niski w przypadku niektórych pokrewnych ataków. Microsoft opisuje ataki z bezpośrednim dostępem do pamięci, które często trwają kilka minut, wymagają taniego sprzętu i oprogramowania dostępnego w sprzedaży i nie wymagają rozbierania urządzenia. Atakujący może podłączyć urządzenie typu USB, gdy właściciel zrobi sobie przerwę, i odejść z tajemnicami komputera [6]. ## Co widać na ekranie Cytowane tu źródła nie opisują ogólnie ekranu ofiary. Udokumentowany jest tylko jeden szczegół: FIN7 używała złośliwych pendrive'ów USB do otwarcia okna dialogowego Uruchamianie kombinacją Windows + R, a następnie uruchamiała wiersz polecenia [3]. Okno, które otwiera się samo tuż po podłączeniu czegoś, jest więc sygnałem, który należy traktować poważnie. Źródła nie mówią, czy atak zawsze zostawia widoczny ślad ani jak długo trwa. Brak jakiegokolwiek znaku na ekranie niczego więc nie dowodzi. Zespoły bezpieczeństwa opierają się na innych oznakach: MITRE opisuje wykrycie nowego urządzenia rozpoznanego przez Windows, po którym wkrótce pojawiają się procesy uruchomione z tej samej sesji i możliwe wstrzykiwanie naciśnięć klawiszy [1]. ## Pod maską Zasadę da się opisać jednym zdaniem: urządzenie przedstawia się komputerowi jako klawiatura, a komputer wykonuje jego naciśnięcia klawiszy. Cytowane tu źródła potwierdzają to w odniesieniu do FIN7, której niektóre pendrivy USB działały jak wirtualne klawiatury [3]. Nie opisują natomiast protokołu technicznego ani szybkości pisania. Po wysłaniu klawiszy dalszy ciąg jest typowy. FIN7 używała tych pendrive'ów do uruchomienia PowerShell, pobrania i wykonania złośliwego oprogramowania z serwera atakującego [3]. PowerShell to środowisko poleceń wbudowane w Windows, którego atakujący mogą używać do zbierania informacji i wykonywania kodu [4]. Podobny jest przypadek kabla do ładowania. MITRE zauważa, że urządzenia mobilne, a w niektórych przypadkach kable do ładowania USB, mogą posłużyć do zainfekowania komputera [2]. Ta wzmianka dotyczy rozprzestrzeniania się przez nośniki wymienne, a nie wprowadzania naciśnięć klawiszy. Po stronie obrony ze źródeł wynikają dwa środki. Pierwszy to blokowanie nieznanych urządzeń i akcesoriów przez konfigurację zabezpieczeń [1]. Drugi dotyczy wyłącznie urządzeń z bezpośrednim dostępem do pamięci (Thunderbolt, USB4): Windows może domyślnie uniemożliwić uruchomienie tych, których sterowniki nie są zgodne, dopóki uprawniony użytkownik nie zaloguje się lub nie odblokuje ekranu, a administrator może tę funkcję zmienić [6]. Ta ochrona nie obejmuje FireWire, PCMCIA, CardBus ani ExpressCard [6]. ## Analizy incydentów ### FIN7 i wysyłane pocztą pendrivy USB FIN7 to grupa przestępcza działająca dla zysku od 2013 roku. Od 2020 roku zwróciła się ku polowaniu na dużą zwierzynę, używając oprogramowania wymuszającego okup REvil oraz własnej usługi Darkside [3]. Według MITRE osoby z grupy FIN7 wysyłały pocztą pendrivy USB potencjalnym ofiarom. Zawierały one złośliwe oprogramowanie instalujące kilka tylnych drzwi, czasem z myślą o operacjach z użyciem oprogramowania wymuszającego okup [3]. Grupa używała też pendrive'ów zachowujących się jak wirtualne klawiatury do instalowania złośliwego oprogramowania oraz plików tekstowych, które dekodują się do poleceń PowerShell [3]. Konkretnie, te pendrivy wysyłały Windows + R, aby otworzyć okno Uruchamianie, a następnie uruchamiały wiersz polecenia [3]. Inne emulowały naciśnięcia klawiszy, by uruchomić PowerShell, pobrać i wykonać program z serwera atakującego [3]. MITRE odsyła do artykułów prasowych ze stycznia 2022 roku, w tym do jednego z 7 stycznia 2022 roku zatytułowanego „FBI: FIN7 hackers target US companies with BadUSB devices to install ransomware" [3]. Cytowane tu źródła nie opisują ani opakowania przesyłek, ani ich podszywania się pod prezent lub oficjalną korespondencję. ## Źródła 1. MITRE ATT&CK, „Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1091/ (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G0046/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1059/001/ (dostęp 3 listopada 2026) 5. CISA, „Using Caution with USB Drives | CISA”, 1 lutego 2021. https://www.cisa.gov/news-events/news/using-caution-usb-drives (dostęp 3 listopada 2026) 6. Microsoft, „Kernel DMA Protection”. https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt (dostęp 3 listopada 2026) 7. CISA, „Avoiding Social Engineering and Phishing Attacks | CISA”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/kable-pulapki-omg-rubber-ducky/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.