Schädliche USB-Kabel (HID-Injection/BadUSB) und öffentliche Kiosk-Abwehr¶

Schließen Sie Ihren Laptop, Ihr Smartphone oder Tablet an ein unbekanntes USB-C- oder Lightning-Ladekabel an, das Sie am Hotelschalter, am Flughafengate, auf dem Rücksitz einer Mitfahrgelegenheit oder in einer Konferenztasche zurückgelassen haben, oder sehen Sie ein Windows-Ausführungsdialogfeld (Win + R), ein PowerShell-Fenster oder ein macOS-Terminal 500 Millisekunden lang über Ihren Bildschirm blinken und direkt nach dem Anschließen eines USB-Kabels, eines Flash-Laufwerks oder eines Präsentationsklickers mit der Eingabe von 1.000 Wörtern pro Minute beginnen, ist die Signatur eines BadUSB / HID (Human Interface Device) KeyStroke Injection Attack oder einer Ausbeutung öffentlicher Ladestationen („Juice Jacking“). Im Gegensatz zu herkömmlicher Malware, die als Datei auf einem USB-Stick gespeichert ist und von Antivirenscannern vor dem Öffnen überprüft werden kann, betten bewaffnete Hardwareimplantate wie O.MG Cable, USB Rubber Ducky, Flipper Zero BadUSB, Bash Bunny und USBHarpoon einen Miniatur-Mikrocontroller und ein WLAN-Radio direkt in das geformte Kunststoff-Steckergehäuse eines normal aussehenden Apple-, Anker- oder Samsung-Ladekabels (kaum 12 Millimeter oder 0,47 Zoll lang) ein.

Wenn dieser versteckte Mikrocontroller an Ihren Computer oder ein entsperrtes Smartphone angeschlossen ist, meldet er sich Ihrem Betriebssystem nicht als Speicherlaufwerk oder Ladegerät. Stattdessen erfolgt die Aufzählung über USB D+ und D- Datenpins als Standard USB-HID-Tastatur (Class 0x03) oder USB-Ethernet-Netzwerkadapter (RNDIS / ECM). Da Windows, macOS, Linux, iOS und Android neu angeschlossenen Tastaturen von Natur aus vertrauen, ohne dass Treiber oder Antivirenscans erforderlich sind, löst das Kabel sofort eine vorprogrammierte Folge von Tastenanschlägen aus (Win + R -> powershell -w hidden -ep bypass ... unter Windows, oder Cmd + Space -> Terminal unter macOS) oder löst eine ferngesteuerte Wi-Fi-Nutzlast aus, sobald ein Angreifer im Umkreis von 90 Metern (300 Fuß) auf seinem Telefon auf „Ausführen“ klickt. Weitere Informationen zu Bedrohungen durch drahtlose Hotspots und Reisenetzwerke sowie Ladeanschlüsse finden Sie auch in unserer öffentliches WLAN, Evil Twin und Juice Jacking Defense Guide. Wenn Sie körperlichen Drohungen oder Erpressungen ausgesetzt sind, rufen Sie Ihre örtliche Notrufnummer an (911 in den Vereinigten Staaten und Kanada, 112 in der gesamten Europäischen Union, 999 im Vereinigten Königreich) oder sehen Sie sich unsere an Notrufnummern Verzeichnis. Befolgen Sie die nachstehenden Maßnahmen zur sofortigen Hardware-Isolierung und forensischen Wiederherstellung.

Tun Sie dies jetzt¶

1. ZIEHEN Sie das verdächtige USB-Kabel, Flash-Laufwerk, Dock oder Ladekabel SOFORT aus dem Anschluss Ihres Geräts: Jede Sekunde, die ein BadUSB- oder O.MG-Kabel an einen entsperrten Computer oder Telefon angeschlossen bleibt, ermöglicht es seinem internen Mikrocontroller (oder einem in der Nähe befindlichen Angreifer, der mit dem versteckten internen WLAN-Hotspot des Kabels verbunden ist), Tastenanschläge einzuschleusen, Daten über einen versteckten seriellen USB-/Netzwerkkanal zu exfiltrieren oder einen Hardware-Keylogger auszuführen, der jedes Passwort aufzeichnet, das Sie auf Ihrer externen Tastatur eingeben.
2. Trennen Sie den betroffenen Laptop oder das betroffene Telefon jetzt von WLAN, Ethernet und Bluetooth und geben Sie KEINE Passwörter auf diesem Computer ein: Die standardmäßige 2-Sekunden-Payload BadUSB/Rubber Ducky schreibt kein großes Programm über die langsame Tastaturschnittstelle; Stattdessen gibt es einen einzeiligen „stager“-Befehl in PowerShell ein (iex (irm http://...)) oder macOS-Terminal (curl -s http://... | sh), der einen vollständigen Infostealer oder Remote-Access-Trojaner über Ihre WLAN-Verbindung herunterlädt. Durch das Unterbrechen von WLAN und Ethernet wird der Download sofort abgebrochen oder die Exfiltration gestoppt.
3. Wenn Sie auf Ihrem iPhone/iPad auf „Diesem Computer vertrauen“ getippt oder auf Ihrem Android-Telefon an einem öffentlichen Ladekiosk „Dateiübertragung (MTP) / USB-Debugging (ADB) zulassen“ ausgewählt haben, widerrufen Sie sofort die Vertrauenswürdigkeit:
4. Auf iPhone/iPad: Ziehen Sie das Kabel ab, gehen Sie zu Einstellungen > Entwickler (sofern unten in den Einstellungen sichtbar) -> tippen Sie auf Vertrauenswürdige Computer löschen. Wenn Developer nicht sichtbar war, gehen Sie zu Einstellungen > Allgemein > iPhone übertragen oder zurücksetzen > Zurücksetzen > Standort und Datenschutz zurücksetzen, wodurch alle gekoppelten Geräte kryptografisch gelöscht werden lockdownd Host-Pairing-Datensätze, sodass kein Computer oder Kiosk ohne Ihren Passcode jemals wieder auf Ihr iPhone-Backup zugreifen kann.
5. Auf Android: Ziehen Sie das Kabel ab, gehen Sie zu Einstellungen > System > Entwickleroptionen (falls aktiviert) -> tippen Sie auf USB-Debugging-Berechtigungen widerrufen und schalten Sie Entwickleroptionen vollständig AUS.
6. Überprüfen Sie, was die BadUSB-Tastenanschlagnutzlast gerade auf Ihrem Computer eingegeben hat, indem Sie das Kontrollkästchen „Ausführen“ aktivieren (RunMRU), PowerShell-Befehlsprotokoll (PSReadLine) und macOS-Terminalverlauf: Öffnen Sie vor dem Neustart ein sauberes Terminalfenster auf Ihrem Offline-Computer und lesen Sie mithilfe unseres genauen Befehls, den die gefälschte USB-Tastatur in Ihr System eingefügt hat forensische Prüfbefehle in Phase 2.
7. Bewahren Sie das verdächtige USB-Kabel oder den USB-Stick in einem Metallbehälter oder einer Faraday-Tasche auf (schließen Sie es NICHT wieder an einen Computer an, um zu sehen, was sich darauf befindet): Da ein O.MG-Kabel einen aktiven ESP8266/ESP32-Wi-Fi-Transceiver enthält, der sich immer dann einschaltet, wenn er 5 Volt empfängt (selbst wenn er an einen USB-Wandbaustein oder eine Batteriebank angeschlossen ist), schaltet das Anschließen an ein Wandladegerät seinen versteckten Wi-Fi-Zugangspunkt ein und lässt einen Angreifer nach draußen Ihr Hotelzimmer oder Büro, um eine Verbindung dazu herzustellen oder dessen Selbstzerstörung auszulösen (Self-Destruct / Wipe)-Funktion. Lassen Sie es vollständig vom Stromnetz getrennt.
8. Wenn die BadUSB-Payload ein Skript auf Ihrem Computer ausgeführt hat, während Sie angemeldet waren, rotieren Sie alle Anmeldeinformationen und widerrufen Sie aktive Sitzungen von einem separaten, sauberen Gerät: Da 90 Prozent der modernen BadUSB-Payloads einen Infostealer starten, der Browser-Cookies und gespeicherte Passwörter in 3 Sekunden abgreift, führen Sie unseren aus Leitfaden zum Hijacking von Sitzungscookies und zum Widerruf von Infostealer-Token von einem sauberen Smartphone.

Entscheidungsbaum: Reaktion auf einen mutmaßlichen bösartigen USB-Kabel- oder öffentlichen Kiosk-Angriff¶

Verwenden Sie dieses taktische Flussdiagramm, um festzustellen, ob Ihr Gerät nach dem Anschließen an ein nicht vertrauenswürdiges USB-Kabel, Dock, USB-Stick oder eine öffentliche Ladestation kompromittiert wurde:

flowchart TD
    Event["An ein unbekanntes USB-Kabel angeschlossen, ein Flash-Laufwerk, einen Hotel-/Flughafen-Kiosk gefunden oder ein Terminal gesehen/Windows Flash auf dem Bildschirm ausgeführt haben"] --> Unplug["SCHRITT 1: Ziehen Sie sofort das USB-Kabel/Gerät ab und trennen Sie die WLAN-/Ethernet-Verbindung"]

    Unplug --> WhatDevice{"Welches Gerät wurde an das unbekannte USB-Kabel oder den unbekannten USB-Anschluss angeschlossen?"}

    WhatDevice -->|"Windows-, macOS- oder Linux-Laptop/Desktop"| ScreenLocked{"War der Computerbildschirm beim Anschließen GESPERRT oder ENTRIEGELT?"}
    WhatDevice -->|"iPhone / iPad (iOS / iPadOS)"| iOSState{"War das iPhone entsperrt und haben Sie auf „Vertrauen“ getippt oder die Eingabe angezeigt?"}
    WhatDevice -->|"Android-Smartphone/Tablet"| AndroidState{"War das Telefon entsperrt oder war „USB-Debugging (ADB)“ aktiviert?"}

    ScreenLocked -->|"Entsperrt (am Desktop angemeldet)"| AssumeHID["HOHES RISIKO: BadUSB/O.MG-Kabel kann Tastenanschläge (Win+R/Befehl+Leertaste) in <1,5 Sekunden ohne Aufforderung ausführen -> Fahren Sie mit der forensischen Prüfung der Phase 2 fort"]
    ScreenLocked -->|"Gesperrt (Passwortbildschirm)"| NetworkDMA["Überprüfen Sie, ob Thunderbolt/PCIe DMA oder USB Ethernet (RNDIS/DHCP Poisoning) aufgetreten ist; Tastenanschläge können den Sperrbildschirm ohne Ihr Passwort nicht umgehen"]

    iOSState -->|"Die ganze Zeit gesperrt (iOS 15+ / eingeschränkter USB-Modus)"| iOSSafe["SICHER: Apples „USB-eingeschränkter Modus“ deaktiviert Daten-Pins auf gesperrten iPhones physisch -> Nur Strom läuft"]
    iOSState -->|"Entsperrt und auf „Vertrauen“ getippt (oder Safari/Verknüpfungen geöffnet gesehen)"| iOSRevoke["Sofort ausführen: Einstellungen > Allgemein > iPhone übertragen oder zurücksetzen > Zurücksetzen > Standort und Datenschutz zurücksetzen + Verknüpfungs-App überwachen"]

    AndroidState -->|"Die ganze Zeit gesperrt (Nur-Lademodus)"| AndroidSafe["SICHER: Modernes Android ist standardmäßig auf „Keine Datenübertragung (nur Laden)“ -> Keine Datenweitergabe eingestellt"]
    AndroidState -->|"Entsperrt und Bildschirmeingabe oder genehmigtes ADB/MTP"| AndroidRevoke["Deaktivieren Sie die Entwickleroptionen -> USB-Debugging widerrufen -> Installierte Apps und Chrome-Downloads überprüfen"]

Verstehen, wie BadUSB-, O.MG-Kabel und öffentliche Ladeangriffe tatsächlich funktionieren¶

Um sich effektiv zu verteidigen und sowohl eine Unterreaktion auf ein echtes Hardware-Implantat als auch eine Panik wegen harmloser Ladeanschlüsse zu vermeiden, müssen Sie die drei unterschiedlichen technischen Mechanismen verstehen, die Angreifer über USB nutzen:

1. BadUSB / HID-Tastenanschlag-Injektion (O.MG Cable, Rubber Ducky, Flipper Zero)¶

• Der grundlegende Designfehler von USB: Der Universal Serial Bus (USB)-Spezifikation ermöglicht es einem einzelnen physischen Anschluss, sich während der Aufzählung als eine beliebige Geräteklasse zu deklarieren (bInterfaceClass) oder sogar als Composite Device (das sich gleichzeitig als USB-Flash-Laufwerk und als USB-Tastatur deklariert).
• In einem O.MG-Kabel oder einem bösartigen Ladegerät: Optisch ist ein O.MG-Kabel zu 100 Prozent nicht von einem echten geflochtenen oder weißen Apple USB-C-zu-USB-C-, USB-C-zu-Lightning- oder USB-A-Kabel zu unterscheiden. Es lädt Ihr Telefon auf und überträgt Daten normal. Im Inneren der aktiven Steckerspitze verbirgt sich jedoch ein mikroskopisch kleiner Dual-Core-Mikrocontroller mit 802.11-WLAN und Flash-Speicher:
• Aktive Tasteneingabe: Sobald Sie das Kabel an einen entsperrten Windows-PC, Mac oder Smartphone anschließen, wird das Kabel als generische HID-Tastatur aufgeführt und gibt bis zu 850 Zeichen pro Sekunde ein (DuckyScript). Innerhalb von 1,5 Sekunden drückt es Win + R (Windows) bzw Cmd + Space (Mac), startet eine versteckte Hintergrund-Shell, lädt eine Nutzlast herunter und schließt das Fenster.
• Inline-Hardware-Keylogger (für externe USB-Tastaturen): Wenn ein Angreifer das USB-Kabel, das Ihre externe mechanische Tastatur mit Ihrem Desktop-PC verbindet, durch ein O.MG-Kabel vertauscht, sitzt das Implantat lautlos in der Mitte des Kabels und zeichnet ** bis zu 650.000 Tastenanschläge** (einschließlich Ihres Bitwarden/1Password-Master-Passworts, Ihrer Windows-Anmelde-PIN und Ihres BIOS-Passworts) in seinem internen Flash-Speicher auf, den der Angreifer drahtlos von außerhalb des Gebäudes über WLAN herunterlädt.
• Geofenced und zeitverzögerte Nutzlasten: Im Gegensatz zu einem einfachen 50-Dollar-USB-Rubber-Ducky, der seine Nutzlast sofort eingibt, sobald er eingesteckt wird, kann ein O.MG-Kabel Tage oder Wochen als normales Ladekabel vollständig inaktiv bleiben, bis es Ihr Unternehmens-WLAN-Netzwerk erkennt (BSSID Geofencing) oder bis der Angreifer es aus der Ferne über seine integrierte Web-Benutzeroberfläche auslöst.

2. USB-Netzwerkadapter-Hijacking (RNDIS / CDC-ECM / PoisonTap / Bash Bunny)¶

• Auch wenn der Bildschirm Ihres Laptops gesperrt ist (Win + L oder Ctrl + Cmd + Q) damit eine gefälschte USB-Tastatur kein Terminalfenster öffnen kann, ermöglicht das Anschließen eines bösartigen USB-Geräts an einen entsperrten USB-Datenanschluss, dass das Gerät als Gigabit-USB-Ethernet-Adapter mit hoher Priorität (USB RNDIS oder CDC-ECM).
• Da Windows und macOS einer neu verbundenen kabelgebundenen Ethernet-Schnittstelle automatisch Vorrang vor WLAN einräumen, wird das USB-Gerät über DHCP zum Standard-Gateway Ihres Laptops (0.0.0.0/1), fängt unverschlüsselten lokalen Netzwerkverkehr ab und antwortet darauf WPAD / LLMNR / mDNS Anfragen oder saugt Nicht-HttpOnly-Hintergrundbrowser-Cookies ab.

3. Öffentlicher Kiosk „Juice Jacking“ (MTP / PTP / iOS lockdownd / Android ADB)¶

• Wenn Sie ein Smartphone über ein normales datenfähiges Kabel an einen öffentlichen USB-Anschluss (am Flughafen, Bahnhof, am Kopfende eines Hotels oder an der Infotainmenteinheit eines Mietwagens) anschließen:
• Was automatisch blockiert wird: Seit iOS 11.4.1 / iOS 15+ (USB Restricted Mode) und Android 9+ (Charge-Only Default), wenn Sie ein Telefon an einen USB-Datenanschluss anschließen, werden Ihre Fotos oder Dateien nicht automatisch angezeigt. Die Datenübertragung wird blockiert, bis Sie das Telefon entsperren UND explizit auf „Diesem Computer vertrauen“ tippen (und Ihren iPhone-Passcode eingeben)** oder die USB-Benachrichtigung von Android manuell von „Keine Datenübertragung“ auf „Dateiübertragung (MTP)“ oder „USB-Debugging zulassen“ umstellen.
• Wo die wahre Gefahr an öffentlichen Kiosken liegt:
  1. ChoiceJacking & HID-Injection auf entsperrten Telefonen: Wie von Sicherheitsforschern der TU Graz nachgewiesen (ChoiceJacking), wenn Ihr Telefon entsperrt in Ihrer Hand ist, während Sie es an einen schädlichen öffentlichen USB-Anschluss anschließen, kann der Kiosk zunächst als USB-Tastatur (HID) für 200 Millisekunden und senden Sie das genaue Tab / Enter oder unterstützende Tastenanschläge, die erforderlich sind, um auf Ihrem Bildschirm auf die Eingabeaufforderung „Zulassen/Dateiübertragung“ zu klicken, bevor Sie in den Host-Datenübertragungsmodus wechseln.
  2. Verschmutzte Stromversorgung/Hardwareschäden durch Überspannung (USB Killer): Ein sabotierter öffentlicher USB-Anschluss kann 200 V Gleichstrom von einer Kondensatorbank direkt in den USB-C-Controller-Chip Ihres Telefons leiten, wodurch die Hauptplatine dauerhaft durchbrennt.

Vergleichsmatrix: USB-Verteidigungshardware und Betriebssystemschutz¶

Phase 1: So erkennen Sie ein schädliches USB-Kabel optisch und elektrisch (O.MG Cable Audit)¶

Wenn Sie in Ihrem Büro, an der Rückseite Ihrer Desktop-PC-Tastatur oder in Ihrer Reisetasche ein verdächtiges USB-Kabel gefunden haben, befolgen Sie diese vier Schritte, um festzustellen, ob es sich um ein Hardware-Implantat handelt:

1. Test Nr. 1: Kontinuität messen oder einen Hardware-Kabeltester verwenden (O.MG Malicious Cable Detector / Bleeping / Hak5 Tester):
2. Standardmäßige passive USB-A-auf-USB-C-, USB-A-auf-Lightning- oder nicht E-gekennzeichnete USB-C-Ladekabel enthalten keinen aktiven Mikroprozessor, der Strom zieht, wenn nur ein Ende an die Stromversorgung angeschlossen ist.
3. Ein O.MG Bösartiger Kabeldetektor (oder ein Inline-USB-Strom-/Protokollanalysator wie ein Power-Z KM003C) befindet sich zwischen der Stromquelle und dem Kabel, wobei am anderen Ende des Kabels nichts angeschlossen ist:
   • Wenn ein Kabel 30 bis 120 Milliampere (mA) Strom bei 5 V zieht, wenn am anderen Ende nichts angeschlossen ist oder versucht, USB auszuhandeln D+/D- Aufzählung allein: Im Kabelkopf ist ein aktiver Computer/Wi-Fi-Radio versteckt.
4. Test Nr. 2: Suchen Sie nach versteckten WLAN-Zugangspunkten (O.MG Standard-SSIDs oder ESP32-MAC-Präfixe):
5. O.MG-Kabel und drahtlose BadUSB-Implantate verwenden einen Espressif (ESP8266 / ESP32-S2 / ESP32-C3) Wi-Fi-Chip im Steckergehäuse.
6. Wenn Sie eine isolierte USB-Batteriebank in einem Faraday-/isolierten Bereich (niemals Ihrem Computer) verwenden und ein nicht konfiguriertes oder standardmäßiges O.MG-Kabel mit Strom versorgen, wird häufig ein 2,4-GHz-WLAN-Netzwerk (Standard-SSID) übertragen O.MG bei 192.168.4.1, oder eine versteckte SSID mit einer MAC-Adresse/BSSID OUI von Espressif Inc. wie z.B 24:0A:C4, 30:AE:A4, 84:CC:A8, A0:20:A6, DC:4F:22, sofern nicht gefälscht).
7. Test Nr. 3: Überprüfen Sie die Länge der Steckerumspritzung und die Wärmeentwicklung:
8. Vergleichen Sie die Kunststoff-Zugentlastungshülle des verdächtigen Kabels nebeneinander mit einem bekannten Originalkabel von Apple oder Anker:
   • Während die neueren O.MG-Kabelgenerationen genau den Gehäuseabmessungen von Apple entsprechen, fühlt sich der Anschlusskopf, der den aktiven Wi-Fi-Mikrocontroller enthält, nach 3 Minuten 5-V-Stromversorgung merklich warm an (35 to 45 degrees Celsius / 95 to 113 degrees Fahrenheit) zwischen Ihren Fingerspitzen, auch wenn am anderen Ende kein Telefon aufgeladen wird. (Ein normales passives Kabel, an dessen fernem Ende nichts angeschlossen ist, bleibt bei Raumtemperatur völlig kalt.)

Phase 2: Forensische Untersuchung, wenn auf Ihrem Computer ein fehlerhaftes USB- oder O.MG-Kabel gefunden wurde¶

Wenn Sie ein USB-Kabel, einen USB-Stick oder ein Peripheriegerät an Ihren Windows-PC, Mac oder Linux-Laptop angeschlossen haben und das Startmenü, das Dialogfeld „Ausführen“ (Win + R), Spotlight (Cmd + Space), oder ein schwarz/blaues Terminalfenster öffnet und schließt sich, noch nicht neu starten. Führen Sie genau diese Offline-Befehle aus, um zu sehen, was die gefälschte USB-Tastatur eingegeben hat und welche USB-Anbieter-/Produkt-ID (VID:PID) mit Ihrem Port verbunden:

1. Forensisches Audit für Windows 10 und Windows 11 (in Offline-PowerShell ausführen)¶

Öffnen Sie PowerShell (Admin) auf dem Offline-Windows-PC und führen Sie diese vier forensischen Befehle aus:

# 1. Inspect the exact commands typed into the Windows Run Dialog (Win + R) by the BadUSB keyboard:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"

# 2. Read the persistent PowerShell command history file (captures commands typed into any PowerShell window):
Get-Content (Get-PSReadLineOption).HistorySavePath -Tail 50

# 3. List all USB HID Keyboards and USB Composite Devices recently connected to this PC (with Timestamps & VID/PID):
Get-PnpDevice -Class Keyboard, HIDClass, USB | ForEach-Object {
    $prop = Get-PnpDeviceProperty -InstanceId $_.InstanceId -KeyName "DEVPKEY_Device_FirstInstallDate", "DEVPKEY_Device_LastArrivalDate" -ErrorAction SilentlyContinue
    if ($prop) {
        [PSCustomObject]@{
            FriendlyName = $_.FriendlyName
            Status       = $_.Status
            InstanceId   = $_.InstanceId
            FirstInstall = ($prop | Where-Object KeyName -match "FirstInstallDate").Data
            LastArrival  = ($prop | Where-Object KeyName -match "LastArrivalDate").Data
        }
    }
} | Sort-Object LastArrival -Descending | Select-Object -First 20 | Format-Table -AutoSize

# 4. Check Windows Event Log 4104 (PowerShell Script Block Logging) for obfuscated payloads executed in the last 24 hours:
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-PowerShell/Operational'; Id=4104} -MaxEvents 30 -ErrorAction SilentlyContinue |
    Select-Object TimeCreated, Message | Format-List

• Wie zu interpretieren Get-ItemProperty ... RunMRU:
• Fast jedes Windows BadUSB/Rubber Ducky-Skript startet durch Drücken von Win + R (GUI r in DuckyScript) und das Eingeben eines Befehls wie powershell -w h -NoP -NonI -Ep Bypass irm https://... | iex oder cmd /c curl ....
• Auch wenn das Skript versucht zu löschen RunMRU Wenn Sie am Ende das Kabel während der Ausführung herausgezogen haben (oder wenn das Skript die Registrierung nicht gelöscht hat), werden die genaue schädliche URL und der Befehl direkt darin angezeigt RunMRU (a, b, c Werte) oder innerhalb ConsoleHost_history.txt.

2. Apple macOS Forensic Audit (im Offline-Terminal ausführen)¶

Unter macOS drücken BadUSB-Payloads normalerweise Cmd + Space (GUI SPACE), Typ Terminal, drücken Enter, und führen Sie a aus curl oder osascript Einzeiler:

# 1. Check your Zsh and Bash command history for any command injected by the fake USB keyboard:
tail -n 50 ~/.zsh_history ~/.bash_history 2>/dev/null

# 2. Query the macOS Unified Log for all USB device attach events and VID/PID enumerations in the last 2 hours:
log show --predicate 'subsystem CONTAINS "usb" OR process == "kernel"' --info --last 2h | grep -iE "USB|AppleUSB|VID|PID|HID|Keyboard|O.MG"

# 3. Check recently modified LaunchAgents and /tmp payloads:
ls -laht ~/Library/LaunchAgents /Library/LaunchAgents /tmp /var/tmp | head -n 30

3. Forensisches Linux-Audit (dmesg & journalctl)¶

# Inspect kernel USB enumeration logs to see if a charging cable or thumb drive secretly registered as an "input: ... Keyboard" (HID):
sudo journalctl -k --since "2 hours ago" | grep -iE "usb|hid|input|keyboard|rndis|cdc_ether"
tail -n 50 ~/.bash_history ~/.zsh_history 2>/dev/null

Wenn eines der oben genannten Protokolle Folgendes zeigt: a powershell, cmd, mshta, curl, wget, oder osascript Der Befehl wurde ausgeführt, während eine Verbindung zum Internet bestand. Gehen Sie davon aus, dass ein Infostealer oder eine dauerhafte Hintertür ausgeführt wurde: Alle Sitzungen mit unserem widerrufen Anleitung zum Session-Cookie-Hijacking und Infostealer und führen Sie im Anschluss an unsere eine Neuinstallation des Betriebssystems durch Leitfaden zu Malware-, Ransomware- und Spyware-Infektionen.

Phase 3: Sperren Sie Ihre Geräte, sodass fehlerhafte USB-Kabel niemals automatisch ausgeführt werden können¶

Moderne Betriebssysteme verfügen jetzt über leistungsstarke integrierte Hardware-Portsperren, die BadUSB, O.MG-Kabel und Rubber Duckies vollständig neutralisieren, bevor sie ein einziges Zeichen eingeben können, vorausgesetzt, Sie aktivieren diese Einstellungen:

1. Apple macOS (Apple Silicon M1 / M2 / M3 / M4 MacBooks): Aktivieren Sie „Nach neuem Zubehör fragen“¶

Auf Apple Silicon Macs mit macOS Ventura, Sonoma oder Sequoia hat Apple eine USB-C/Thunderbolt-Port-Autorisierung auf Hardwareebene eingeführt, die verhindert, dass jedes neue USB-Kabel oder Gerät als Tastatur aufgeführt wird, bis Sie explizit auf „Zulassen“ klicken: 1. Öffnen Sie das Apple-Menü () > Systemeinstellungen > Datenschutz und Sicherheit. 2. Scrollen Sie nach unten zum Abschnitt Sicherheit und suchen Sie nach „Verbindung von Zubehör zulassen“. 3. Ändern Sie die Einstellung von Automatisch beim Entsperren in „Nach neuem Zubehör fragen“ (oder „Jedes Mal fragen“ für maximalen Reiseschutz mit hoher Sicherheit). 4. Warum dies dazu führt, dass O.MG-Kabel auf einem Mac nicht funktionieren: Wenn Sie ein betrügerisches O.MG-Ladekabel anschließen, während „Jedes Mal fragen“ oder „Nach neuem Zubehör fragen“ aktiviert ist, fließt sofort Strom, um den Akku Ihres MacBook aufzuladen, aber macOS zeigt einen Warndialog mit folgendem Text an: "Allow accessory '[Device Name]' to connect to this Mac?" Da ein normales passives Ladekabel niemals zum Anschließen als Datenzubehör auffordert, wird das Kabel beim Anschließen eines einfachen Ladekabels sofort als Hardware-Implantat entlarvt, wenn Sie dieses Popup-Fenster sehen, während 100 Prozent seiner Tastenanschläge blockiert werden, bis Sie es abziehen.

2. Apple iPhone und iPad: Stellen Sie sicher, dass der „USB-eingeschränkte Modus“ aktiviert ist¶

1. Öffnen Sie Einstellungen > Face ID & Passcode (oder Touch ID & Passcode) und geben Sie Ihren Passcode ein.
2. Scrollen Sie nach unten zum Abschnitt „Zugriff zulassen, wenn gesperrt“.
3. Stellen Sie sicher, dass der Schalter neben Zubehör (oder USB-Zubehör) auf AUS (grau) steht.
4. Wenn Zubehör auf AUS geschaltet ist und Ihr iPhone gesperrt ist, deaktiviert iOS physisch die USB-Datenpins, sodass nur der Ladestrom durchgelassen werden kann. Drücken Sie immer die Seitentaste, um den Bildschirm Ihres iPhones zu sperren, BEVOR Sie es an ein unbekanntes Ladegerät oder einen Mietwagen anschließen.

3. Android 15/16 und GrapheneOS: Aktivieren Sie „Erweiterter Schutz“/USB-Port-Sperre¶

• Auf Standard-Android (Pixel, Samsung Galaxy):
• Verlassen Sie niemals Entwickleroptionen > USB-Debugging (ADB) auf Reisen aktiviert.
• Aktivieren Sie unter Einstellungen > Sicherheit und Datenschutz > Weitere Sicherheitseinstellungen (oder Erweiterter Schutz auf Android 15/16+) USB-Schutz / Blockieren neuer USB-Geräte im gesperrten Zustand.
• Sperren Sie immer Ihren Bildschirm, bevor Sie eine Verbindung zu einem öffentlichen Ladeanschluss herstellen, damit ChoiceJacking HID-Angriffe nicht mit einem entsperrten Bildschirm interagieren können.

4. Linux- und Windows-Unternehmen: USBGuard und Einschränkungen bei der Geräteinstallation¶

• Unter Linux (USBGuard): Installieren Sie die usbguard Daemon (sudo apt install usbguard), wodurch die Aktivierung jedes neu angeschlossenen USB-Geräts blockiert wird bInterfaceClass 03 (HID-Tastatur), wenn bereits eine primäre Tastatur angeschlossen ist oder bis dies ausdrücklich über autorisiert wird usbguard allow-device.
• Unter Windows 11 Pro/Enterprise: Kernel-DMA-Schutz aktivieren (BitLocker + VBS) unter Windows-Sicherheit > Gerätesicherheit > Kernisolierung, um Thunderbolt/PCIe-DMA-Angriffe zu stoppen und Ihre Workstation immer zu sperren (Win + L), bevor Sie ein unbekanntes USB-Kabel anschließen, damit Tastaturinjektoren nicht auf eine angemeldete Desktop-Shell zugreifen können.

Häufig gestellte Fragen¶

Kann ein bösartiges O.MG-Kabel oder BadUSB-Kabel mein iPhone oder Android-Telefon hacken, wenn ich es nur anschließe, während der Bildschirm meines Telefons gesperrt ist?¶

Wenn Ihr iPhone dies hat Einstellungen > Face ID & Passcode > Zugriff zulassen, wenn gesperrt > Zubehör drehte sich um AUS (Standardeinstellung bei iOS 15 bis iOS 18) und Ihr Bildschirm ist gesperrt, wenn Sie das Kabel anschließen. Keine Daten oder Tastenanschläge können Ihr iPhone erreichen weil iOS die USB-Datenleitungen auf Hardware-Controller-Ebene deaktiviert, bis Sie das Telefon mit Face ID oder Ihrem Passcode entsperren. Sobald Sie jedoch Ihr iPhone entsperren, während das O.MG-Kabel noch angeschlossen ist, kann das Kabel als externe USB-Tastatur fungieren und schnell iOS-Tastaturkürzel senden (z. B Befehl + Leertaste um Spotlight zu öffnen, Safari zu einer Phishing-/Konfigurationsprofil-URL zu öffnen oder Apple Shortcuts auszulösen). Lassen Sie niemals ein gefundenes oder nicht vertrauenswürdiges USB-Kabel eingesteckt, während Sie Ihr Telefon entsperren.

Wie kann ich den Unterschied zwischen einem echten „Charge-Only“-USB-Kabel und einem normalen USB-Datenkabel erkennen?¶

Da Hersteller selten Symbole auf Kabel drucken, die reine Ladekabel von Datenkabeln unterscheiden, besteht der einfachste und sicherste Test darin, das Kabel zwischen einem Computer und einem alten, nicht kritischen Gerät anzuschließen (oder ein 10-Dollar-Inline-USB-Kabel-Pinbelegungs-Durchgangsprüfgerät wie das zu verwenden). Treedix USB-Kabeltester, wodurch einzelne LEDs für jedes interne Kabel aufleuchten, ohne dass ein Mikrocontroller gestartet werden muss. Auf einer Durchgangsprüfplatine ein echter Nur-Ladekabel wird aufleuchten nur VBUS und GND (2 LEDs), wobei auch ein datenfähiges Kabel leuchtet D+ und D- (und CC1/TX/RX auf USB-C). Alternativ können Sie auch einen dedizierten behalten physischer USB-Datenblocker-Adapter Es ist dauerhaft an der Spitze Ihres Reiseladekabels befestigt, sodass Sie physisch in die Buchse schauen und mit eigenen Augen überprüfen können, ob die mittleren Datenstifte fehlen.

Ist es sicher, mein eigenes Ladekabel anstelle des integrierten USB-Anschlusses an die Steckdose (2-polige / 3-polige Steckdose) am Flughafen oder Hotel anzuschließen?¶

Ja, 100 Prozent sicher. Eine standardmäßige 110-V-/230-V-Wechselstrom-Steckdose (an die Sie Ihr eigenes Apple-, Samsung- oder Anker-Netzteil anschließen) führt nur Wechselstrom und verfügt über keine Datenverbindungen, die mit dem USB-Controller Ihres Telefons kommunizieren können. Solange Sie es verwenden Ihr eigenes vertrauenswürdiges Netzteil und Ihr eigenes vertrauenswürdiges USB-KabelEine Steckdose am Flughafen oder Hotel kann keine Juice Jacking- oder BadUSB-Angriffe durchführen.

Warum wurde in Windows die Meldung „Ein Gerät einrichten: HID-Tastaturgerät“ angezeigt, als ich ein USB-Flash-Laufwerk oder ein Ladegerät für E-Zigaretten/E-Zigaretten angeschlossen habe?¶

Windows zeigt eine Toast-Benachrichtigung an „Ein Gerät einrichten: HID-Tastaturgerät“ wenn du etwas angeschlossen hast, das ist nicht Eine Tastatur (z. B. ein USB-Flash-Laufwerk, ein Ladekabel, ein billiger Tischventilator, ein digitaler Bilderrahmen oder ein Vape-Ladegerät) ist der unverkennbare Beweis Nr. 1 eines BadUSB-/HID-Tastenanschlag-Injection-Angriff. Kein legitimes Flash-Laufwerk oder Ladekabel muss jemals bei Windows als Tastatur registriert werden. Trennen Sie das Gerät sofort vom Stromnetz, trennen Sie die Verbindung zum WLAN und führen Sie die PowerShell aus Führen Sie MRU aus und PSReadLine Überprüfen Sie in Phase 2 die Befehle, um zu sehen, welchen Befehl die gefälschte Tastatur eingegeben hat.

Quellen überprüft¶

• Federal Bureau of Investigation (FBI) & Federal Communications Commission (FCC) (Vereinigte Staaten): Öffentliche Bekanntmachungen zu Risiken öffentlicher USB-Ladestationen („Juice Jacking“) und böswilligen Hardware-Implantationen.
• Nationale Sicherheitsbehörde (NSA) & Agentur für Cybersicherheit und Infrastruktursicherheit (CISA) (Vereinigte Staaten): Best Practices für Mobilgeräte: Sicher reisen mit Mobiltelefonen, Laptops und USB-Peripheriegeräten.
• Technische Universität Graz (TU Graz InfoSec Research Group): ChoiceJacking: Kompromittierung mobiler Geräte durch bösartige Ladegeräte über USB-HID-Injection (USENIX Security Symposium).
• Sicherheitsleitfaden zur Apple-Plattform: Eingeschränkter USB-Modus, Zubehörzugriff bei Sperrung und macOS Apple Silicon USB/Thunderbolt-Zubehörautorisierungsarchitektur.
• USB-Implementierer-Forum (USB-IF): USB-Typ-C-Authentifizierung, Stromversorgung (USB PD) und Human Interface Device (HID Klasse 0x03) Spezifikationen.

Verwandte Leitfäden¶

• Öffentliches WLAN, Evil Twin-Hotspots und Saftdiebstahl-Verteidigung
• Session-Cookie-Hijacking, Infostealer-Malware und Token-Widerruf
• Stalkerware-, Spyware- und Keylogger-Erkennung auf Telefonen
• Malware-, Ransomware- und Spyware-Infektion
• QR-Code-Phishing (Quishing) und böswillige Weiterleitungen
• Notrufnummern nach Ländern