USB kabel s čipem za 1 650 Kč dokáže přepsat firmware vaší klávesnice. Napadený počítač nerozeznáte ani antivirem

14. května 2026 spustila malá firma Little Gadgets na Kickstarteru kampaň na kabel, který vypadá jako cokoliv z šuplíku s nabíječkami.

Foto: Pixabay

Jenže uvnitř konektoru sedí čip ESP32-S3 s Wi-Fi, Bluetooth LE a USB rozhraním, které umí počítači namluvit, že je klávesnice. Do konce kampaně 13. června přispělo 439 lidí a projekt uzavřel s necelými 44 000 eur, zhruba 1,1 milionu korun. Early Bird cena začínala na 65 eurech, tedy asi 1 650 Kč. Za tu částku backer dostane nástroj, který bezpečnostní komunitu znervózňuje i fascinuje zároveň.

Co kabel skutečně umí, a co je titulková zkratka

Začněme tím, co je doložené. Podle rozborů na Tom’s Hardware a Hackster zvládá:

• HID emulaci – tváří se jako klávesnice nebo myš a posílá hostitelskému počítači libovolné stisky kláves.
• Wi-Fi triggery – payload se spustí vzdáleně z telefonu nebo notebooku přes webový prohlížeč.
• Browser dashboard – ovládací panel běží v prohlížeči, na cílovém stroji není potřeba nic instalovat.
• Skryté úložiště – v USB-A konektoru je schovaný slot na microSD kartu pro payloady.
• Self-destruct – možnost smazat obsah jedním příkazem.

A teď korekce. Přímé přepisování firmwaru klávesnice ve veřejných materiálech kampaně potvrzené není. Hacknect umí simulovat klávesnici a spouštět na hostitelském počítači připravené sekvence příkazů. Pokud by taková sekvence zahrnovala utilitu pro flashování firmwaru, třeba workflow typu QMK, kabel by přepsání mohl zprostředkovat nepřímo. To ale není totéž jako „kabel sám přepisuje firmware“. Rozdíl je podstatný: jde o skriptovaný útok na hostitele, ne o přímou komunikaci s jinou periferií.

Proč antivir mlčí

Jádro problému je překvapivě jednoduché. Windows má pro USB zařízení třídy HID vestavěné ovladače (Hidclass.sys a Hidusb.sys) a klávesnici této třídy obslouží automaticky, bez dotazu, bez varování. Operační systém nedokáže rozlišit, jestli stisky přicházejí z vaší mechanické klávesnice, nebo z čipu schovaného v kabelu. Pro OS je obojí důvěryhodný vstup.

Antivir pracuje s jiným modelem hrozby. Hledá podezřelé soubory, procesy, síťovou komunikaci. Hacknect ale žádný soubor neinstaluje, „píše“ příkazy jako běžná klávesnice. Otevře PowerShell, zadá řádek, potvrdí Enter. Vše proběhne za zlomky sekundy. Antivir může zachytit až některé následné artefakty, třeba stažený skript nebo podezřelý proces. Samotný princip „tohle je klávesnice“ ale neodhalí. O.MG Cable od Hak5, zralejší konkurent na trhu, to dokonce marketingově popisuje jako zařízení, které je neaktivní a chová se jako běžný USB 2.0 kabel, dokud nedostane povel.

Hacknect versus O.MG: levnější neznamená schopnější

Hacknect není první svého druhu. O.MG Cable existuje roky a nabízí propracovanější ekosystém: až 300 slotů pro payloady v Elite verzi, hardwarový keylogger, šifrovaný řídicí kanál, geofencing i rozšířený Wi-Fi dosah. Vyžaduje vlastní programátor pro aktivaci a správu firmwaru. Je to profesionální platforma pro penetrační testery, a stojí odpovídajícím způsobem víc.

Hacknect míří jinam. Nižší cena, slib otevřeného firmwaru a dokumentace po dodání, přístupnější ovládání přes prohlížeč. Podle nás je reálné riziko právě v tom: ne v „magické“ nové technice, ale v tom, že levněji a civilněji balí útok založený na implicitní důvěře operačního systému k USB klávesnici. Bariéra vstupu klesá. A open source ji sníží ještě víc, pro obránce i útočníky.

Jak se bránit, když antivir nestačí

Obrana je hlavně procedurální. Britské NCSC i švýcarské NCSC u obdobných HID útoků doporučují totéž: nepřipojovat cizí kabely a USB zařízení, nenechávat notebook bez dozoru na konferencích, v kavárnách, v coworkingu.

Pro běžného uživatele:

• Používejte vlastní kabel a vlastní síťový adaptér do zásuvky, ne cizí datový port.
• Na iPhonu nepotvrzujte „Trust This Computer“, pokud zdroj neznáte.
• Na Androidu nepřepínejte USB do režimu přenosu souborů, pokud to není nutné.
• Kabel nejasného původu (promo dárek, nalezený kus) raději vyhoďte.

Pro firmy: omezit nebo vypnout nepotřebná USB rozhraní, řídit periferie přes MDM, blokovat neschválená zařízení a školit zaměstnance, že USB port není jen nabíječka, ale vstupní brána.

Co na to český zákon

Výrobci nástroje jako Hacknect rámují jako pomůcky pro autorizovaný audit, red teaming a výuku. Samotné vlastnictví bez prokazatelného trestního úmyslu není v Česku automaticky trestné. Problém nastává u použití: § 230 trestního zákoníku postihuje neoprávněný přístup k počítačovému systému, § 231 pak i výrobu, nabídku nebo přechovávání prostředku určeného ke spáchání takového činu, pokud je prokázán úmysl. Hranice mezi penetračním testerem a pachatelem tak vede přes souhlas vlastníka cílového zařízení.

Hacknect zatím není v běžném prodeji, jde o uzavřený crowdfunding s plánovanou expedicí v srpnu 2026. Až dorazí k backerům a tvůrci zveřejní firmware, teprve se ukáže, jestli kabel za 1 650 Kč změní pravidla hry, nebo zůstane levnější variantou toho, co profesionálové používají roky. Jedno je ale jisté už teď: éra, kdy stačilo nedůvěřovat flashdiskům, je pryč.