Podstawione kable i urządzenia udające klawiaturę
Kabel lub pendrive USB może udawać klawiaturę i wpisywać polecenia w Pana/Pani imieniu. Oto jak się przed tym chronić.
W 30 sekund
- Gdzie to się zdarza
- Na Pana/Pani stanowisku pracy, gdy do komputera zostanie podłączony nieznany kabel, pendrive lub akcesorium, także przedmiot otrzymany pocztą3.
- Czego chce atakujący
- Sprawić, by komputer wykonał polecenia, na przykład pobrał złośliwe oprogramowanie3.
- Odruch
- Podłączać wyłącznie sprzęt dostarczony lub zatwierdzony przez firmę, a każdy nieznany przedmiot oddać do działu IT.
- Jeśli to już się stało
- Proszę odłączyć urządzenie, niczego więcej nie dotykać i niezwłocznie powiadomić dział IT (zdroworozsądkowa rada, której nie podają cytowane tu źródła).
O co chodzi
Kabel lub pendrive USB może wyglądać jak zwykły akcesorium, a zachowywać się jak klawiatura. Komputer traktuje go jak urządzenie wejściowe i przyjmuje to, co ono „wpisuje", mimo że osoba przy ekranie nie nacisnęła żadnego klawisza.
MITRE, które katalogizuje techniki ataków, zalicza ten sposób do dodatków sprzętowych: akcesoriów lub urządzeń fizycznie wprowadzonych do systemu w celu uzyskania dostępu. Wśród możliwości produktów komercyjnych i otwartych wymienia wstrzykiwanie naciśnięć klawiszy1. Ten artykuł wyjaśnia, co to oznacza dla pracownika.
Pytania wprost
Czy kabel naprawdę może pisać za mnie?
Tak. Cytowane tu źródła opisują złośliwe pendrivy USB, które pełnią rolę wirtualnych klawiatur, oraz wstrzykiwanie naciśnięć klawiszy jako możliwość produktów komercyjnych i otwartych, używanych między innymi przez zespoły przeprowadzające audyt ofensywny13. Nazw popularnych produktów w tej dziedzinie cytowane tu źródła nie podają, z wyjątkiem Bash Bunny, używanego przez grupę DarkVishnya1.
Czy program antywirusowy to zatrzyma?
Cytowane tu źródła tego nie mówią. Zalecają, by nie podłączać nieznanego pendrive'a, wyłączyć automatyczne uruchamianie i aktualizować oprogramowanie zabezpieczające5. MITRE ze swojej strony wskazuje środek podstawowy: blokowanie nieznanych urządzeń i akcesoriów przez konfigurację zabezpieczeń stanowiska1.
Dlaczego przedmiot otrzymany pocztą jest niebezpieczny?
Ponieważ atakujący nie musi wchodzić do siedziby firmy. MITRE podaje, że osoby z grupy FIN7 wysyłały pocztą pendrivy USB potencjalnym ofiarom3. CISA dodaje, że atakujący zainfekowali przedmioty w trakcie produkcji, takie jak cyfrowe ramki na zdjęcia czy pendrivy USB5.
Co zrobić z pendrivem znalezionym na ziemi?
Nie podłączać go, nawet po to, by zobaczyć zawartość lub odnaleźć właściciela. CISA zaleca przekazać go właściwym osobom: pracownikom ochrony miejsca lub działowi IT organizacji5.
1W skórze atakującego1 min
Atakujący szuka początkowego dostępu. Według MITRE dodatek sprzętowy jest czymś więcej niż zwykły nośnik danych: daje komputerowi nowe funkcje, które można następnie wykorzystać do złych celów1. Wstrzykiwanie naciśnięć klawiszy jest jedną z nich1.
Potrzebuje też powodu, dla którego przedmiot zostanie podłączony. CISA opisuje atakujących, którzy podają się za nowego pracownika, serwisanta lub badacza i okazują dokumenty potwierdzające tożsamość7.
Próg wejścia jest niski w przypadku niektórych pokrewnych ataków. Microsoft opisuje ataki z bezpośrednim dostępem do pamięci, które często trwają kilka minut, wymagają taniego sprzętu i oprogramowania dostępnego w sprzedaży i nie wymagają rozbierania urządzenia. Atakujący może podłączyć urządzenie typu USB, gdy właściciel zrobi sobie przerwę, i odejść z tajemnicami komputera6.
2Co widać na ekranie1 min
Cytowane tu źródła nie opisują ogólnie ekranu ofiary. Udokumentowany jest tylko jeden szczegół: FIN7 używała złośliwych pendrive'ów USB do otwarcia okna dialogowego Uruchamianie kombinacją Windows + R, a następnie uruchamiała wiersz polecenia3. Okno, które otwiera się samo tuż po podłączeniu czegoś, jest więc sygnałem, który należy traktować poważnie.
Źródła nie mówią, czy atak zawsze zostawia widoczny ślad ani jak długo trwa. Brak jakiegokolwiek znaku na ekranie niczego więc nie dowodzi. Zespoły bezpieczeństwa opierają się na innych oznakach: MITRE opisuje wykrycie nowego urządzenia rozpoznanego przez Windows, po którym wkrótce pojawiają się procesy uruchomione z tej samej sesji i możliwe wstrzykiwanie naciśnięć klawiszy1.
3Pod maskąZespoły IT1 min
Zasadę da się opisać jednym zdaniem: urządzenie przedstawia się komputerowi jako klawiatura, a komputer wykonuje jego naciśnięcia klawiszy. Cytowane tu źródła potwierdzają to w odniesieniu do FIN7, której niektóre pendrivy USB działały jak wirtualne klawiatury3. Nie opisują natomiast protokołu technicznego ani szybkości pisania.
Po wysłaniu klawiszy dalszy ciąg jest typowy. FIN7 używała tych pendrive'ów do uruchomienia PowerShell, pobrania i wykonania złośliwego oprogramowania z serwera atakującego3. PowerShell to środowisko poleceń wbudowane w Windows, którego atakujący mogą używać do zbierania informacji i wykonywania kodu4.
Podobny jest przypadek kabla do ładowania. MITRE zauważa, że urządzenia mobilne, a w niektórych przypadkach kable do ładowania USB, mogą posłużyć do zainfekowania komputera2. Ta wzmianka dotyczy rozprzestrzeniania się przez nośniki wymienne, a nie wprowadzania naciśnięć klawiszy.
Po stronie obrony ze źródeł wynikają dwa środki. Pierwszy to blokowanie nieznanych urządzeń i akcesoriów przez konfigurację zabezpieczeń1. Drugi dotyczy wyłącznie urządzeń z bezpośrednim dostępem do pamięci (Thunderbolt, USB4): Windows może domyślnie uniemożliwić uruchomienie tych, których sterowniki nie są zgodne, dopóki uprawniony użytkownik nie zaloguje się lub nie odblokuje ekranu, a administrator może tę funkcję zmienić6. Ta ochrona nie obejmuje FireWire, PCMCIA, CardBus ani ExpressCard6.
4Analizy incydentówPrawdziwe przypadki1 min
FIN7 i wysyłane pocztą pendrivy USB
FIN7 to grupa przestępcza działająca dla zysku od 2013 roku. Od 2020 roku zwróciła się ku polowaniu na dużą zwierzynę, używając oprogramowania wymuszającego okup REvil oraz własnej usługi Darkside3.
Według MITRE osoby z grupy FIN7 wysyłały pocztą pendrivy USB potencjalnym ofiarom. Zawierały one złośliwe oprogramowanie instalujące kilka tylnych drzwi, czasem z myślą o operacjach z użyciem oprogramowania wymuszającego okup3. Grupa używała też pendrive'ów zachowujących się jak wirtualne klawiatury do instalowania złośliwego oprogramowania oraz plików tekstowych, które dekodują się do poleceń PowerShell3.
Konkretnie, te pendrivy wysyłały Windows + R, aby otworzyć okno Uruchamianie, a następnie uruchamiały wiersz polecenia3. Inne emulowały naciśnięcia klawiszy, by uruchomić PowerShell, pobrać i wykonać program z serwera atakującego3.
MITRE odsyła do artykułów prasowych ze stycznia 2022 roku, w tym do jednego z 7 stycznia 2022 roku zatytułowanego „FBI: FIN7 hackers target US companies with BadUSB devices to install ransomware"3. Cytowane tu źródła nie opisują ani opakowania przesyłek, ani ich podszywania się pod prezent lub oficjalną korespondencję.
Karta
- Identyfikator
- CP-084
- Skrzydło
- 1. Ataki i techniki
- Kompetencja Brain
- Zabezpieczać urządzenia (secure_devices)
- Odruch Brain
- cr-051
- Schemat
- G3 · Przekrój anatomiczny
- Języki
- de, en, es, fr, it, nl, pl, pt
- Źródła
- Źródła sprawdzone 3 listopada 2026: 7
ŹródłaŹródła: 7
- MITRE ATT&CK, „Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1200/ (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1091/ (dostęp 3 listopada 2026)
- MITRE ATT&CK, „FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK®”. https://attack.mitre.org/groups/G0046/ (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1059/001/ (dostęp 3 listopada 2026)
- CISA, „Using Caution with USB Drives | CISA”, 1 lutego 2021. https://www.cisa.gov/news-events/news/using-caution-usb-drives (dostęp 3 listopada 2026)
- Microsoft, „Kernel DMA Protection”. https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt (dostęp 3 listopada 2026)
- CISA, „Avoiding Social Engineering and Phishing Attacks | CISA”, 1 lutego 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (dostęp 3 listopada 2026)
Zacytuj ten artykuł
Brain, „Podstawione kable i urządzenia udające klawiaturę”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp084_pl_2026,
author = {Brain},
title = {Podstawione kable i urządzenia udające klawiaturę},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pl/articles/kable-pulapki-omg-rubber-ducky/},
note = {CC BY 4.0}
}