点击联系发帖人原标题：黑你没商量！只需一根USB充电线就能在你的PC上植入恶意程序
近日，有安全研究人员对外展示了一个可以执行BadUSB攻击的USB充电线装置USBHarpoon。据称，攻击者只需将该USB插入受害者计算机，就可以在短短的几秒钟内植入恶意payload，并将计算机变成一个能够输入和启动命令的外围设备。
USBHarpoon的制造商称，他们的研究是基于Karsten Nohl及其安全研究实验室团队的BadUSB上进行的。目的是表明，攻击者可以通过重新编程USB控制器芯片，并使其在计算机上显示为人机接口设备（HID）。
HID的类型范围非常的广泛，从一个输入设备（如键盘）到修改系统DNS设置重定向流量的网卡。
通过USBHarpoon，安全专家使用充电线取代了U盘。作为日常生活中使用最广泛的USB充电线，人们往往并不在意它的安全问题，相比于U盘也更加难以防范。
此外，USBHarpoon还带有改进的连接器允许数据和电源同时通过。该特性也使其可以配备任何类型的通过USB供电的设备（风扇，dongles），而不会引起受害者对插入数据线的怀疑。
较早之前该方案已被实现
负责充电线设计及其武器化的Yiu表示，他与来自不同实验室的多位研究人员进行了探讨，他们试图建立像USBHarpoon这样的项目，但他们在将充电线改装成BadUSB后，无论如何都无法使USB充电线正常充电。” 我朋友的团队已经成功地解决了这个问题并将其武器化，他们的研究成果能让USB充电线可同时具备充电和HID的能力。“他在一篇博文中补充道。
其实早在今年年初，安全研究员MG就已将USB充电线武器化的方案实现。如下两个视频所示，MG能够创建USB数据线，当插入计算机的USB端口时就可以执行HID攻击。
此外，MG还展示了他称之为BadUSB数据线的攻击，并可与MacBook充电器中使用的USB-C连接器配合使用，以及其它任何带有USB端口的设备包括手机。
Yiu对此解释道，他在着手USBHarpoon项目之前从未听说过MG的研究。但同时也对MG的研究，给予了充分的肯定。
USBHarpoon/BadUSB数据线攻击在未锁定的计算机上可成功执行，它可以启动命令下载和执行payload。在Windows上，命令可以直接从命令提示符运行; 在Mac和Linux上它可以启动终端来执行命令。
但不足之处是该活动在桌面是可见的，因此攻击者必须找出隐藏自己的办法。 据Yiu透露，他们团队正在探索一种当受害者不在时触发攻击的方法。
想要保护依赖USB连接的攻击并不容易。
