Most people know not to open strange files from a USB stick they found in the car park. Fewer know that the stick may not need you to open anything. Some devices that look like a USB drive, a charging cable or even a mouse dongle are really tiny computers that tell your machine: "I'm a keyboard."
Computers trust keyboards completely. So the moment it's plugged in, the device can open a terminal and type a command at hundreds of characters per second. This is called a BadUSB or keystroke injection attack.
What one looks like in practice
- The device is plugged in. Your computer sees a new keyboard and accepts it.
- After a short pause, it presses Win + R on Windows, or opens Spotlight and Terminal on a Mac.
- It types a one-line command that downloads and runs malware, then presses Enter.
- The window closes. The whole thing takes two or three seconds. If you looked away, you saw nothing.
Tools that do this are sold openly for security testing, and cheap clones cost a few euros. Malicious "charging cables" with a hidden chip inside also exist, though they're rarer and pricier.
Who is at risk?
Realistically, BadUSB is a targeted attack: someone has to get a device into your hands or your port. Typical scenarios are:
- USB sticks left in offices, car parks or sent by post as a "free gift" or "conference materials".
- Someone with a moment alone at an unlocked computer.
- Second-hand or unbranded cables, chargers and accessories.
The same everyday habits also protect you from plain old infected USB drives, which are far more common.
Simple habits that stop it
- Don't plug in USB devices you didn't buy or don't know. If you find one, hand it to IT or throw it away. Curiosity is exactly what the attacker counts on.
- Lock your screen when you step away (Win + L, or Ctrl + ⌘ + Q on a Mac). A device can't type into a locked computer.
- Use a power-only adapter (a "USB condom") when charging from public ports.
- On a Mac, keep "Allow accessories to connect" on "Ask". Apple Silicon Macs ask before a new USB or Thunderbolt accessory can talk to a laptop. Say no to anything you don't recognise.
- Watch for keyboard pop-ups. macOS's "Keyboard Setup Assistant" appearing when you plugged in a "drive" is a big red flag. Unplug it.
Don't use a non-admin account as your only defenceWorking as a standard user helps, but a typed command can still steal your files and browser data without admin rights. Stealers don't need to be administrators.
What Agamemnon does
On both Mac and Windows, Agamemnon scans every drive and memory card the moment it's plugged in and ejects it if it carries malware; programs disguised as documents (like photos.jpg.exe), files hidden behind shortcuts and autorun tricks are flagged. On a Mac it adds BadUSB defence: when a newly connected device behaves like a keyboard that starts typing commands, Agamemnon catches it. Combined with real-time protection, whatever such a device tries to download is checked as soon as it lands.
Çoğu insan otoparkta bulduğu bir USB bellekten tuhaf dosyalar açmaması gerektiğini bilir. Daha azı, o belleğin sizin bir şey açmanıza ihtiyaç duymayabileceğini bilir. USB bellek, şarj kablosu, hatta fare alıcısı gibi görünen bazı aygıtlar aslında bilgisayarınıza "Ben bir klavyeyim" diyen küçük bilgisayarlardır.
Bilgisayarlar klavyelere tamamen güvenir. Bu yüzden aygıt takıldığı anda bir terminal açıp saniyede yüzlerce karakter hızla bir komut yazabilir. Buna BadUSB ya da tuş vuruşu enjeksiyonu saldırısı denir.
Uygulamada nasıl görünür?
- Aygıt takılır. Bilgisayarınız yeni bir klavye görür ve kabul eder.
- Kısa bir beklemeden sonra Windows'ta Win + R'ye basar ya da Mac'te Spotlight'ı ve Terminal'i açar.
- Zararlı yazılım indirip çalıştıran tek satırlık bir komut yazar ve Enter'a basar.
- Pencere kapanır. Her şey iki üç saniye sürer. O an başka yere baktıysanız hiçbir şey görmezsiniz.
Bunu yapan araçlar güvenlik testleri için açıkça satılıyor ve ucuz kopyaları birkaç avro tutuyor. İçinde gizli çip olan zararlı "şarj kabloları" da var, ama daha nadir ve daha pahalılar.
Kimler risk altında?
Gerçekçi olmak gerekirse BadUSB hedefli bir saldırıdır: birinin aygıtı elinize ya da bilgisayarınızın girişine ulaştırması gerekir. Tipik senaryolar:
- Ofislerde, otoparklarda bırakılan ya da "ücretsiz hediye" veya "konferans materyali" olarak postayla gönderilen USB bellekler.
- Kilidi açık bir bilgisayarın başında bir an yalnız kalan biri.
- İkinci el ya da markasız kablolar, şarj aletleri ve aksesuarlar.
Aynı günlük alışkanlıklar sizi çok daha yaygın olan sıradan virüslü USB belleklerden de korur.
Bunu durduran basit alışkanlıklar
- Satın almadığınız ya da tanımadığınız USB aygıtları takmayın. Bir tane bulursanız BT ekibine verin ya da atın. Saldırganın güvendiği şey tam olarak meraktır.
- Başından kalktığınızda ekranınızı kilitleyin (Win + L ya da Mac'te Ctrl + ⌘ + Q). Bir aygıt kilitli bilgisayara yazı yazamaz.
- Halka açık girişlerden şarj ederken yalnızca güç ileten bir adaptör ("USB prezervatifi") kullanın.
- Mac'te "Aksesuarların bağlanmasına izin ver" ayarını "Sor" olarak tutun. Apple Silicon dizüstü Mac'ler yeni bir USB ya da Thunderbolt aksesuarı bağlanmadan önce sorar. Tanımadığınız her şeye hayır deyin.
- Klavye pencerelerine dikkat edin. Bir "bellek" taktığınızda macOS'un "Klavye Ayarlama Yardımcısı"nın açılması büyük bir tehlike işaretidir. Hemen çıkarın.
Tek savunmanız standart hesap olmasınStandart kullanıcı olarak çalışmak yardımcı olur, ama yazılan bir komut yönetici yetkisi olmadan da dosyalarınızı ve tarayıcı verilerinizi çalabilir. Veri hırsızlarının yönetici olmasına gerek yoktur.
Agamemnon ne yapıyor?
Agamemnon hem Mac'te hem Windows'ta her belleği ve hafıza kartını takıldığı anda tarar, zararlı yazılım taşıyorsa çıkarır; belge kılığına girmiş programlar (fotograflar.jpg.exe gibi), kısayolların arkasına gizlenmiş dosyalar ve autorun hileleri işaretlenir. Mac'te buna BadUSB savunması eklenir: yeni bağlanan bir aygıt komut yazmaya başlayan bir klavye gibi davranırsa Agamemnon bunu yakalar. Gerçek zamanlı korumayla birlikte, böyle bir aygıtın indirmeye çalıştığı her şey diske düştüğü anda denetlenir.
