Protipy / PowerShell

Warto czasem spojrzeć, czy nie były podłączane podejrzane klawiatury

ls HKLM:\SYSTEM\CurrentControlSet\Enum\HID\*

WindowsPowershellBlueTeamThreatHunting

Wstęp

Przykładowy wynik:

PS C:\Users\drg> ls HKLM:\SYSTEM\CurrentControlSet\Enum\HID\*

    Hive: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\HID

Name                           Property
----                           --------
VID_03EB&PID_2422&MI_01
VID_2341&PID_8037&MI_02

PS C:\Users\drg>

Mówi nam to tyle, że zostały do tego komputera podłączone klawiatury producentów o ID 03EB oraz 2341 ( VID to Vendor ID czyli kod producenta, natomiast PID to Product ID - kod produktu). Pierwszym jest Atmel Corp. ( https://devicehunt.com/view/type/usb/vendor/03EB), a drugim Arduino SA. ( https://devicehunt.com/view/type/usb/vendor/2341). Obie firmy jednoznacznie kojarzą się z mikrokontrolerami i tak na Atmelu opiera się znany pewnie wszystkim Rubber Ducky, natomiast za pomocą Arduino bardzo łatwo zaprogramować chińskie odpowiedniki.