Rubber Ducky: o pendrive que digita sozinho

O pendrive estava no chão do estacionamento, perto da entrada dos funcionários. Etiqueta escrita à mão: "Folha de pagamento 2026". Alguém pegou, subiu, espetou no notebook para descobrir de quem era.

Nenhuma pasta abriu. Uma janela preta piscou por um segundo e sumiu. A pessoa achou que o pendrive estava com defeito e jogou no lixo.

Esse é o formato clássico de um ataque com rubber ducky. O objeto parece pendrive, mas o computador o reconhece como teclado. E teclado, para qualquer sistema operacional, é confiável por padrão.

O Rubber Ducky não carrega vírus nenhum para ser escaneado. Ele se apresenta como teclado e digita, em segundos, os comandos que um atacante escreveu, com a sessão de quem está logado.

O que é o rubber ducky e por que ele engana o sistema

O USB Rubber Ducky é um produto da Hak5. Segundo a documentação oficial, ele foi lançado em 2010 como uma ferramenta de injeção de teclas. O criador usava a ideia para automatizar tarefas chatas do trabalho de TI, como configurar impressora e mapear pasta de rede.

O truque está no protocolo USB. Todo dispositivo conectado diz ao computador o que ele é. Um pendrive se declara armazenamento em massa. Um teclado se declara HID, sigla em inglês para dispositivo de interface humana. O computador acredita no que o dispositivo declara.

Existe um motivo para essa confiança. Se o sistema pedisse aprovação a cada teclado novo, ninguém conseguiria usar o teclado para aprovar. Por isso Windows, macOS e Linux instalam teclado sem perguntar nada a ninguém.

O dispositivo da Hak5 se declara teclado. A partir desse momento, tudo o que ele manda é tratado como se uma pessoa estivesse digitando. O roteiro vem escrito em DuckyScript, a linguagem da Hak5. A versão 3.0, de 2022, trouxe condicionais, laços e funções, conforme a mesma documentação.

Por que o antivírus não vê nada

O antivírus tradicional procura arquivo. Ele examina o que é gravado no disco, compara com assinaturas conhecidas e bloqueia o que parece malicioso.

Um ataque com rubber ducky não grava arquivo nenhum para o antivírus examinar. Ele abre o executar do Windows, digita um comando do PowerShell, aperta Enter e fecha a janela. Para o sistema, foi o usuário que fez isso.

O comando digitado pode fazer muita coisa em poucos segundos:

• baixar um programa de um servidor externo e executar,
• copiar senhas salvas no navegador e mandar para fora,
• criar um usuário novo ou abrir uma porta de acesso remoto.

A segunda opção é o mesmo objetivo de um infostealer, só que entregue por teclado em vez de anexo. E tudo roda com as permissões de quem estava logado. Se essa pessoa é administradora da máquina, o comando também é.

BadUSB: a família inteira

BadUSB é o nome da classe de ataque. Qualquer dispositivo USB que mente sobre o que é entra nela. O produto da Hak5 é o mais conhecido da família, mas não é o único formato.

O cabo merece atenção. A própria Hak5 vende o O.MG Cable, descrito na página do produto como um cabo feito à mão com um implante escondido. Em repouso, ele funciona como cabo USB 2.0 comum, carregando e transferindo dados. Quando o ataque dispara, ele digita. A versão Elite chega a 890 teclas por segundo, segundo o fabricante.

Um cabo de carregar esquecido na sala de reunião levanta menos suspeita que um pendrive, e ninguém pensa duas vezes antes de ligar o celular nele.

O ataque exige acesso físico, e por isso é problema de conscientização

Nenhum desses dispositivos atravessa a internet. Alguém precisa plugar o dispositivo na máquina. Isso limita o ataque e também mostra onde ele mora: no comportamento das pessoas.

O atacante tem três formas comuns de conseguir esse plugue:

1. Deixar o dispositivo para ser achado. Pendrive no estacionamento, na recepção ou no banheiro, com etiqueta que desperta curiosidade.
2. Entregar como presente. Brinde de evento, kit de boas-vindas ou "amostra" mandada pelo correio.
3. Plugar pessoalmente. Visitante, prestador de serviço ou alguém que passa pela mesa de um notebook desbloqueado.

As duas primeiras são engenharia social pura. Elas exploram a mesma curiosidade que faz alguém clicar num link de phishing. A terceira explora a confiança no ambiente de trabalho.

Por isso o tema aparece em treinamento de segurança. A mensagem para o funcionário é simples: dispositivo achado vai para a TI, nunca para a porta USB. Isso vale para cabo e carregador também.

Os controles que funcionam contra rubber ducky

Treinamento reduz a chance de alguém plugar. Os controles técnicos reduzem o estrago quando alguém plugar mesmo assim.

1. Bloquear a tela ao sair da mesa. É o controle mais barato e o mais eficaz contra o plugue pessoal. Um teclado falso digitando numa tela bloqueada só consegue tentar senha. Configure bloqueio automático em poucos minutos de inatividade.
2. Política de dispositivo USB por classe. O Windows permite, por Group Policy ou por perfil personalizado do Intune, impedir a instalação de dispositivos por classe ou por ID de hardware. A documentação da Microsoft mostra como montar uma lista de permitidos e barrar o resto.
3. Aprovação para teclado novo. Com a política acima, um HID que não está na lista não é instalado sem intervenção da TI. A mesma documentação avisa: em desktop, você precisa liberar os controladores e hubs por onde passam o teclado e o mouse legítimos, ou o usuário perde o acesso à própria máquina.
4. EDR olhando comportamento. Um EDR observa o que acontece depois do plugue. Um teclado recém-conectado que abre o PowerShell e baixa um arquivo em menos de um segundo deixa um rastro que nenhum humano deixa. Esse padrão de digitação sobre-humana é o sinal que interessa.
5. Portas desabilitadas onde não se usa. Totem de atendimento, servidor em rack e máquina de chão de fábrica raramente precisam de USB livre. Desabilitar na BIOS ou lacrar fisicamente fecha a porta.
6. Usuário sem privilégio de administrador. O comando digitado herda as permissões da sessão. Um usuário comum limita o que o atacante consegue fazer com ele.

O Microsoft Defender for Endpoint também tem controle de dispositivos para armazenamento removível, impressora e Bluetooth. A visão geral do recurso mostra políticas por ID de fabricante e produto, por grupo de usuário e por operação. A página não fala de teclado. Para HID, a ferramenta é a política de instalação de dispositivos do item 2.

Uso legítimo: pentest e automação

O rubber ducky nasceu como ferramenta de produtividade e continua sendo usado assim. Um técnico que precisa configurar cinquenta máquinas iguais escreve o roteiro uma vez e pluga o dispositivo em cada uma. O teclado falso faz em segundos o que levaria minutos de digitação.

O outro uso legítimo é o teste de segurança. Num pentest com escopo físico, a equipe contratada deixa dispositivos em pontos da empresa e mede quantos foram plugados. Ou tenta plugar pessoalmente num notebook sem vigilância. O relatório mostra se a tela bloqueada, a política de USB e o EDR funcionaram de verdade.

A Hak5 declara que vende o produto para educação, auditoria autorizada e análise, dentro da lei local. Sem autorização por escrito do dono da máquina, o mesmo teste é invasão de dispositivo.

Por onde começar na sua empresa

Para uma PME, a ordem que costuma dar mais resultado com menos esforço é esta:

1. Ative o bloqueio automático de tela em todos os computadores e cobre o hábito de bloquear ao levantar.
2. Tire o privilégio de administrador de quem não precisa dele no dia a dia.
3. Inclua no treinamento a regra do dispositivo achado, com exemplo de pendrive, cabo e brinde.
4. Defina a política de instalação de USB por classe, começando pelas máquinas de maior risco.
5. Confira se o seu EDR gera alerta para PowerShell aberto logo após a conexão de um dispositivo novo.
6. Desabilite portas em equipamentos que não precisam delas.

Esses passos cabem no plano de cibersegurança para PMEs sem compra de ferramenta nova na maioria dos casos. O bloqueio de tela e a política de instalação já vêm no Windows.

O que fica

O ataque com rubber ducky dura menos tempo do que a pessoa leva para perceber que o pendrive não abriu nenhuma pasta. Ele não depende de falha no sistema. Depende de uma porta USB livre, de uma sessão aberta e de alguém curioso.

Os três têm solução conhecida. A Hak5 vende o Rubber Ducky desde 2010, e o controle de instalação de dispositivos por classe está documentado pela Microsoft para Group Policy e Intune.