Warto czasem spojrzeć, czy nie były podłączane podejrzane klawiatury
tty1 · powershell
PS> ls HKLM:\SYSTEM\CurrentControlSet\Enum\HID\*
#Windows#Powershell#BlueTeam#ThreatHunting
Przykładowy wynik:
PS C:\Users\drg> ls HKLM:\SYSTEM\CurrentControlSet\Enum\HID\*
Hive: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\HID
Name Property
---- --------
VID_03EB&PID_2422&MI_01
VID_2341&PID_8037&MI_02
PS C:\Users\drg>
Mówi nam to tyle, że zostały do tego komputera podłączone klawiatury producentów o ID 03EB oraz 2341 ( VID to Vendor ID czyli kod producenta, natomiast PID to Product ID - kod produktu). Pierwszym jest Atmel Corp. ( https://devicehunt.com/view/type/usb/vendor/03EB), a drugim Arduino SA. ( https://devicehunt.com/view/type/usb/vendor/2341). Obie firmy jednoznacznie kojarzą się z mikrokontrolerami i tak na Atmelu opiera się znany pewnie wszystkim Rubber Ducky, natomiast za pomocą Arduino bardzo łatwo zaprogramować chińskie odpowiedniki.