Cyberpediapor Brain
PTDEENESFRITNL

Cabos armadilhados e chaves que imitam um teclado

Um cabo ou uma pen USB pode fazer-se passar por um teclado e escrever comandos por si. Saiba como se proteger.

Em 30 segundos

Onde acontece
No seu posto de trabalho, quando um cabo, uma pen ou um acessório desconhecido é ligado ao computador, incluindo um objeto recebido pelo correio3.
O que quer o atacante
Fazer a máquina executar comandos, por exemplo para descarregar software malicioso3.
O reflexo
Ligar apenas equipamento fornecido ou validado pela empresa e entregar qualquer objeto desconhecido ao serviço de informática.
Se já aconteceu
Desligue, não toque em mais nada e avise o serviço de informática sem demora (conselho de bom senso, que as fontes aqui citadas não dão).

Do que se trata

Um cabo ou uma pen USB pode ter o aspeto de um acessório comum e comportar-se como um teclado. O computador toma-o por um periférico de entrada e aceita o que ele «escreve», sem que a pessoa à frente do ecrã tenha premido uma única tecla.

O MITRE, que cataloga técnicas de ataque, classifica este método entre as adições de hardware: acessórios ou dispositivos introduzidos fisicamente num sistema para obter acesso. Cita a injeção de teclas entre as capacidades de produtos comerciais e de código aberto1. Este artigo explica o que isto significa para um colaborador.

Perguntas diretas

Um cabo pode mesmo escrever por mim?

Sim. As fontes aqui citadas descrevem pens USB maliciosas que fazem de teclados virtuais, e a injeção de teclas como capacidade de produtos comerciais e de código aberto, usados nomeadamente por equipas de auditoria ofensiva13. Os nomes dos produtos mais comuns neste domínio não constam das fontes aqui citadas, exceto o Bash Bunny, usado pelo grupo DarkVishnya1.

Um antivírus trava-o?

As fontes aqui citadas não o dizem. Recomendam não ligar uma pen desconhecida, desativar a execução automática e manter atualizado o software de segurança5. O MITRE indica, por seu lado, uma medida de fundo: bloquear dispositivos e acessórios desconhecidos através da configuração de segurança do posto1.

Porque é perigoso um objeto recebido pelo correio?

Porque o atacante não precisa de entrar nas instalações. O MITRE refere que agentes do FIN7 enviaram pens USB pelo correio a potenciais vítimas3. A CISA acrescenta que atacantes infetaram objetos durante o fabrico, como molduras fotográficas digitais ou pens USB5.

O que fazer a uma pen encontrada no chão?

Não a ligar, nem sequer para ver o conteúdo ou encontrar o dono. A CISA pede que seja entregue às pessoas competentes: o pessoal de segurança do local ou o serviço de informática da organização5.

1Na pele do atacante1 min

O atacante procura um acesso inicial. Para o MITRE, uma adição de hardware é mais rica do que uma simples pen de armazenamento: dá à máquina novas funções que podem depois ser desviadas1. A injeção de teclas é uma delas1.

Precisa também de um motivo para que o objeto seja ligado. A CISA descreve atacantes que se fazem passar por um novo funcionário, um técnico de reparações ou um investigador, apresentando credenciais7.

O custo de entrada é baixo em alguns ataques próximos. A Microsoft descreve ataques de acesso direto à memória que muitas vezes demoram poucos minutos, com hardware e software baratos, vendidos no mercado, sem desmontar o aparelho. Um atacante pode ligar um dispositivo do tipo USB durante a pausa do proprietário e sair com os segredos da máquina6.

2O que vê no ecrã1 min

As fontes aqui citadas não descrevem o ecrã da vítima de forma geral. Só um pormenor está documentado: o FIN7 usou pens USB maliciosas para abrir a caixa de diálogo Executar com a combinação Windows + R e depois iniciar uma linha de comandos3. Uma janela que se abre sozinha logo após uma ligação é, por isso, um sinal a levar a sério.

As fontes não dizem se o ataque deixa um rasto visível em todos os casos, nem quanto tempo dura. A ausência de qualquer sinal no ecrã não prova, portanto, nada. As equipas de segurança apoiam-se noutros sinais: o MITRE descreve a deteção de um novo dispositivo reconhecido pelo Windows, seguida pouco depois de processos lançados pela mesma sessão e de uma possível injeção de teclas1.

3Por baixo do capôEquipas de TI1 min

O princípio cabe numa frase: o dispositivo apresenta-se ao computador como um teclado e o computador obedece às suas teclas. As fontes aqui citadas confirmam-no para o FIN7, cujas pens USB atuavam como teclados virtuais3. Não detalham o protocolo técnico nem a velocidade de escrita.

Depois de enviadas as teclas, o resto é clássico. O FIN7 empregou estas pens para iniciar o PowerShell, descarregar e executar software malicioso a partir do servidor do atacante3. O PowerShell é um ambiente de comandos incluído no Windows, que os atacantes podem usar para descobrir informações e executar código4.

O caso do cabo de carregamento é semelhante. O MITRE assinala que dispositivos móveis e, em certos casos, cabos de carregamento USB podem servir para infetar um computador2. Esta menção diz respeito à propagação por suportes amovíveis, não à introdução de teclas.

Do lado da defesa, as fontes destacam duas medidas. A primeira é bloquear, pela configuração de segurança, os dispositivos e acessórios desconhecidos1. A segunda aplica-se apenas aos dispositivos com acesso direto à memória (Thunderbolt, USB4): por predefinição, o Windows pode impedir que arranquem os dispositivos cujos controladores não são compatíveis, até que um utilizador autorizado tenha iniciado sessão ou desbloqueado o ecrã, e um administrador pode alterar este comportamento6. Esta proteção não abrange FireWire, PCMCIA, CardBus nem ExpressCard6.

4AutópsiasCasos reais1 min

O FIN7 e as pens USB enviadas pelo correio

O FIN7 é um grupo criminoso com fins lucrativos, ativo desde 2013. Desde 2020, virou-se para a caça aos grandes alvos, com o uso do ransomware REvil e do seu próprio serviço, o Darkside3.

Segundo o MITRE, agentes do FIN7 enviaram pens USB pelo correio a potenciais vítimas. Continham software malicioso que instala várias portas dos fundos, por vezes com vista a operações de ransomware3. O grupo usou também pens que se comportavam como teclados virtuais para instalar software malicioso, bem como ficheiros de texto que se descodificam em comandos PowerShell3.

Em pormenor, estas pens enviavam Windows + R para abrir a caixa Executar e depois iniciavam uma linha de comandos3. Outras emularam teclas para iniciar o PowerShell, descarregar e executar um programa a partir do servidor do atacante3.

O MITRE remete para artigos de imprensa de janeiro de 2022, entre os quais um de 7 de janeiro de 2022 intitulado «FBI: FIN7 hackers target US companies with BadUSB devices to install ransomware»3. As fontes aqui citadas não descrevem nem a embalagem dos envios nem o seu disfarce de presente ou de correspondência oficial.

Ficha

Identificador
CP-084
Ala
1. Ataques e técnicas
Competência Brain
Proteger os dispositivos (secure_devices)
Reflexo Brain
cr-051
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr, it, nl, pt
Fontes
7 fontes verificadas em 3 de novembro de 2026
Fontes7 fontes
  1. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «FIN7, GOLD NIAGARA, ITG14, Carbon Spider, ELBRUS, Sangria Tempest, Group G0046 | MITRE ATT&CK®». https://attack.mitre.org/groups/G0046/ (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Command and Scripting Interpreter: PowerShell, Sub-technique T1059.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1059/001/ (consultado em 3 de novembro de 2026)
  5. CISA, «Using Caution with USB Drives | CISA», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/using-caution-usb-drives (consultado em 3 de novembro de 2026)
  6. Microsoft, «Kernel DMA Protection». https://learn.microsoft.com/en-us/windows/security/hardware-security/kernel-dma-protection-for-thunderbolt (consultado em 3 de novembro de 2026)
  7. CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Cabos armadilhados e chaves que imitam um teclado», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/cabos-armadilhados-omg-rubber-ducky/

BibTeX 
@misc{brain_cp084_pt_2026,
  author = {Brain},
  title = {Cabos armadilhados e chaves que imitam um teclado},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/cabos-armadilhados-omg-rubber-ducky/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0