Computer stellen einer Tastatur kaum Fragen. Dieser einen Designentscheidung verdankt ein kleines Gerät, das wie ein USB-Stick aussieht, dass es seit über einem Jahrzehnt aktuell bleibt.
Was es ist
Der USB Rubber Ducky von Hak5 meldet sich beim Computer als Tastatur und tippt ein vorbereitetes Skript in Maschinengeschwindigkeit. Eine Schwachstelle im klassischen Sinn wird dabei nicht ausgenutzt. Das Betriebssystem sieht ein Eingabegerät und nimmt dessen Tastenanschläge an. Was die angemeldete Person tippen könnte, kann also auch das Gerät tippen.
Die aktuelle Version erschien 2022 passend zur DEF CON. Sie brachte USB-C neben USB-A und eine deutlich mächtigere Sprache: DuckyScript 3.0.
Was sich mit DuckyScript 3.0 geändert hat
Ältere Skripte waren feste Abfolgen, zugeschnitten auf ein Betriebssystem und oft auf eine einzelne Softwareversion. DuckyScript 3.0 kennt Variablen, Funktionen und Kontrollstrukturen. Ein Skript kann erkennen, ob es auf Windows oder einem Mac läuft, und sich entsprechend verhalten. Es kann ausserdem die Pausen zwischen den Anschlägen zufällig variieren, damit das Tippen weniger maschinell wirkt. Das zielt direkt auf Werkzeuge, die unmenschliche Tippgeschwindigkeit melden.
Für die Verteidigung am interessantesten ist das, was Hak5 Keystroke Reflection nennt. Daten können den Computer über die Signale der Feststelltasten zwischen Rechner und Tastatur verlassen, also über dieselben Signale, die die Lämpchen von Caps Lock und Num Lock schalten. Es wird kein Speichergerät eingebunden und kein Netzwerk benutzt. Kontrollen, die nur diese beiden Kanäle überwachen, sehen davon nichts.
Warum das weiterhin zählt
Die Lektion gilt auch dann, wenn nie ein echter Rubber Ducky auftaucht. Derselbe Angriff funktioniert mit jedem programmierbaren USB-Gerät, auch mit günstigen Bastelplatinen. Die eigentliche Frage lautet: Was passiert in deiner Organisation, wenn an einem ungesperrten Rechner eine unbekannte Tastatur auftaucht?
Was wirklich hilft
- Bildschirm sperren. Eingeschleuste Anschläge laufen als angemeldete Person. Kurze Sperrzeiten und die Gewohnheit, beim Verlassen des Platzes zu sperren, nehmen die einfachste Gelegenheit weg.
- USB-Geräte kontrollieren. Gerätekontrolle in Microsoft Defender for Endpoint unter Windows oder USBGuard unter Linux schränkt ein, welche Geräte akzeptiert werden. Kennungen lassen sich allerdings nachahmen: Das ist eine Hürde, keine Garantie.
- Rechte begrenzen. Ein Standardkonto ohne lokale Adminrechte begrenzt, was ein getipptes Skript erreicht. Application Control begrenzt, was es starten kann.
- Das Verhalten beobachten, nicht das Gerät. Eine Shell, die sich öffnet und sofort etwas aus dem Internet holt, ist verdächtig, egal wer getippt hat. Die Endpoint-Erkennung sollte darauf anschlagen.
- Über gefundene USB-Geräte reden. Mitarbeitende sollten wissen: Ein gefundener Stick geht an die IT und nicht in den Laptop. Das gilt auch für alles, was wie ein Kabel oder Adapter aussieht.
Solche Geräte gehören nur an Systeme, für deren Test du eine ausdrückliche Erlaubnis hast. Pentesting und Beratung bei treeinspired →