--- id: CP-084 slug: cabos-armadilhados-omg-rubber-ducky lang: pt title: Cabos armadilhados e chaves que imitam um teclado description: Um cabo ou uma pen USB pode fazer-se passar por um teclado e escrever comandos por si. Saiba como se proteger. canonical_url: https://startbrain.io/cyberpedia/pt/articles/cabos-armadilhados-omg-rubber-ducky/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/cabos-armadilhados-omg-rubber-ducky.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Cabos armadilhados e chaves que imitam um teclado», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/cabos-armadilhados-omg-rubber-ducky/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-051 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/cabos-armadilhados-omg-rubber-ducky/ fr: https://startbrain.io/cyberpedia/fr/articles/cables-pieges-omg-rubber-ducky/ en: https://startbrain.io/cyberpedia/en/articles/booby-trapped-cables-hid-keyboard-emulation/ de: https://startbrain.io/cyberpedia/de/articles/praeparierte-kabel-omg-rubber-ducky/ es: https://startbrain.io/cyberpedia/es/articles/cables-trampa-omg-rubber-ducky/ it: https://startbrain.io/cyberpedia/it/articles/cavi-trappola-omg-rubber-ducky/ nl: https://startbrain.io/cyberpedia/nl/articles/valstrikkabels-omg-rubber-ducky/ sources: - "n": 1 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 2 title: Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1091/ accessed: "2026-11-03" - "n": 3 title: FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G0046/ accessed: "2026-11-03" - "n": 4 title: "Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1059/001/ accessed: "2026-11-03" - "n": 5 title: Using Caution with USB Drives | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/using-caution-usb-drives published: "2021-02-01" accessed: "2026-11-03" - "n": 6 title: Kernel DMA Protection publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt accessed: "2026-11-03" - "n": 7 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" --- # Cabos armadilhados e chaves que imitam um teclado Um cabo ou uma pen USB pode ter o aspeto de um acessório comum e comportar-se como um teclado. O computador toma-o por um periférico de entrada e aceita o que ele «escreve», sem que a pessoa à frente do ecrã tenha premido uma única tecla. O MITRE, que cataloga técnicas de ataque, classifica este método entre as adições de hardware: acessórios ou dispositivos introduzidos fisicamente num sistema para obter acesso. Cita a injeção de teclas entre as capacidades de produtos comerciais e de código aberto [1]. Este artigo explica o que isto significa para um colaborador. ## Em 30 segundos - Onde acontece: no seu posto de trabalho, quando um cabo, uma pen ou um acessório desconhecido é ligado ao computador, incluindo um objeto recebido pelo correio [3]. - O que quer o atacante: fazer a máquina executar comandos, por exemplo para descarregar software malicioso [3]. - O reflexo: ligar apenas equipamento fornecido ou validado pela empresa e entregar qualquer objeto desconhecido ao serviço de informática. - Se já aconteceu: desligue, não toque em mais nada e avise o serviço de informática sem demora (conselho de bom senso, que as fontes aqui citadas não dão). ## Perguntas diretas ### Um cabo pode mesmo escrever por mim? Sim. As fontes aqui citadas descrevem pens USB maliciosas que fazem de teclados virtuais, e a injeção de teclas como capacidade de produtos comerciais e de código aberto, usados nomeadamente por equipas de auditoria ofensiva [1][3]. Os nomes dos produtos mais comuns neste domínio não constam das fontes aqui citadas, exceto o Bash Bunny, usado pelo grupo DarkVishnya [1]. ### Um antivírus trava-o? As fontes aqui citadas não o dizem. Recomendam não ligar uma pen desconhecida, desativar a execução automática e manter atualizado o software de segurança [5]. O MITRE indica, por seu lado, uma medida de fundo: bloquear dispositivos e acessórios desconhecidos através da configuração de segurança do posto [1]. ### Porque é perigoso um objeto recebido pelo correio? Porque o atacante não precisa de entrar nas instalações. O MITRE refere que agentes do FIN7 enviaram pens USB pelo correio a potenciais vítimas [3]. A CISA acrescenta que atacantes infetaram objetos durante o fabrico, como molduras fotográficas digitais ou pens USB [5]. ### O que fazer a uma pen encontrada no chão? Não a ligar, nem sequer para ver o conteúdo ou encontrar o dono. A CISA pede que seja entregue às pessoas competentes: o pessoal de segurança do local ou o serviço de informática da organização [5]. ## Na pele do atacante O atacante procura um acesso inicial. Para o MITRE, uma adição de hardware é mais rica do que uma simples pen de armazenamento: dá à máquina novas funções que podem depois ser desviadas [1]. A injeção de teclas é uma delas [1]. Precisa também de um motivo para que o objeto seja ligado. A CISA descreve atacantes que se fazem passar por um novo funcionário, um técnico de reparações ou um investigador, apresentando credenciais [7]. O custo de entrada é baixo em alguns ataques próximos. A Microsoft descreve ataques de acesso direto à memória que muitas vezes demoram poucos minutos, com hardware e software baratos, vendidos no mercado, sem desmontar o aparelho. Um atacante pode ligar um dispositivo do tipo USB durante a pausa do proprietário e sair com os segredos da máquina [6]. ## O que vê no ecrã As fontes aqui citadas não descrevem o ecrã da vítima de forma geral. Só um pormenor está documentado: o FIN7 usou pens USB maliciosas para abrir a caixa de diálogo Executar com a combinação Windows + R e depois iniciar uma linha de comandos [3]. Uma janela que se abre sozinha logo após uma ligação é, por isso, um sinal a levar a sério. As fontes não dizem se o ataque deixa um rasto visível em todos os casos, nem quanto tempo dura. A ausência de qualquer sinal no ecrã não prova, portanto, nada. As equipas de segurança apoiam-se noutros sinais: o MITRE descreve a deteção de um novo dispositivo reconhecido pelo Windows, seguida pouco depois de processos lançados pela mesma sessão e de uma possível injeção de teclas [1]. ## Por baixo do capô O princípio cabe numa frase: o dispositivo apresenta-se ao computador como um teclado e o computador obedece às suas teclas. As fontes aqui citadas confirmam-no para o FIN7, cujas pens USB atuavam como teclados virtuais [3]. Não detalham o protocolo técnico nem a velocidade de escrita. Depois de enviadas as teclas, o resto é clássico. O FIN7 empregou estas pens para iniciar o PowerShell, descarregar e executar software malicioso a partir do servidor do atacante [3]. O PowerShell é um ambiente de comandos incluído no Windows, que os atacantes podem usar para descobrir informações e executar código [4]. O caso do cabo de carregamento é semelhante. O MITRE assinala que dispositivos móveis e, em certos casos, cabos de carregamento USB podem servir para infetar um computador [2]. Esta menção diz respeito à propagação por suportes amovíveis, não à introdução de teclas. Do lado da defesa, as fontes destacam duas medidas. A primeira é bloquear, pela configuração de segurança, os dispositivos e acessórios desconhecidos [1]. A segunda aplica-se apenas aos dispositivos com acesso direto à memória (Thunderbolt, USB4): por predefinição, o Windows pode impedir que arranquem os dispositivos cujos controladores não são compatíveis, até que um utilizador autorizado tenha iniciado sessão ou desbloqueado o ecrã, e um administrador pode alterar este comportamento [6]. Esta proteção não abrange FireWire, PCMCIA, CardBus nem ExpressCard [6]. ## Autópsias ### O FIN7 e as pens USB enviadas pelo correio O FIN7 é um grupo criminoso com fins lucrativos, ativo desde 2013. Desde 2020, virou-se para a caça aos grandes alvos, com o uso do ransomware REvil e do seu próprio serviço, o Darkside [3]. Segundo o MITRE, agentes do FIN7 enviaram pens USB pelo correio a potenciais vítimas. Continham software malicioso que instala várias portas dos fundos, por vezes com vista a operações de ransomware [3]. O grupo usou também pens que se comportavam como teclados virtuais para instalar software malicioso, bem como ficheiros de texto que se descodificam em comandos PowerShell [3]. Em pormenor, estas pens enviavam Windows + R para abrir a caixa Executar e depois iniciavam uma linha de comandos [3]. Outras emularam teclas para iniciar o PowerShell, descarregar e executar um programa a partir do servidor do atacante [3]. O MITRE remete para artigos de imprensa de janeiro de 2022, entre os quais um de 7 de janeiro de 2022 intitulado «FBI: FIN7 hackers target US companies with BadUSB devices to install ransomware» [3]. As fontes aqui citadas não descrevem nem a embalagem dos envios nem o seu disfarce de presente ou de correspondência oficial. ## Fontes 1. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK®». https://attack.mitre.org/groups/G0046/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1059/001/ (consultado em 3 de novembro de 2026) 5. CISA, «Using Caution with USB Drives | CISA», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/using-caution-usb-drives (consultado em 3 de novembro de 2026) 6. Microsoft, «Kernel DMA Protection». https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt (consultado em 3 de novembro de 2026) 7. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/cabos-armadilhados-omg-rubber-ducky/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.