Un petit périphérique USB baptisé USB Rubber Ducky en vente sur le net a la particularité de se comporter exactement comme un clavier dès que vous la branchez, un clavier qui écrira tout seul le code que vous lui aurez dit d’écrire à l’avance. Comme n’importe quel clavier, Ducky est reconnu par les OS modernes (Linux, Mac et Windows) et profite de cette confiance aveugle qu’on les OS en les claviers afin de balancer des payloads à la vitesse de mille mots par seconde.

Ces payload peuvent être des scripts (eux-mêmes téléchargeables par dizaines sur le net) qui permettent, par exemple: d’insérer une backdoor (sous OSX), de faire du DNS poisoning en local, de récupérer la config WiFi d’un Windows, de récupérer le profil d’un utilisateur sur un FTP de votre choix, de créer un réseau WiFi sur la machine visée et même d’injecter un binaire. USB Rubber Ducky ne fonctionne que si l’utilisateur a oublié de bloquer sa session. Ce qui est très souvent le cas. Avec un petit script bien pensé, il suffit que vous vous leviez 1 minute de votre chaise, pour que votre voisin de table récupère des données, un accès distant ou des mots de passe en quelques secondes simplement en insérant sa clé Ducky dans le port USB de votre machine.