QUACK! Making the (Rubber) Ducky Talk: A Systematic Study of Keystroke Dynamics for HID Injection Detection

Resumen Técnico: Detección de Inyección HID mediante Dinámica de Teclado

1. Planteamiento del Problema

Los sistemas informáticos modernos confían implícitamente en los dispositivos de entrada humanos (como los teclados), otorgándoles acceso directo al pipeline de entrada del sistema operativo. Esta confianza crea una superficie de ataque explotable mediante la emulación de Dispositivos de Interfaz Humana (HID). Herramientas como el USB Rubber Ducky se hacen pasar por teclados legítimos e inyectan secuencias de teclas preprogramadas a alta velocidad, ejecutando comandos maliciosos sin explotar vulnerabilidades de software ni activar defensas tradicionales de malware.

Las contramedidas existentes suelen basarse en heurísticas simples (velocidad de escritura anormalmente alta o patrones de tiempo excesivamente regulares), las cuales son fácilmente evadidas mediante la introducción de retrasos aleatorios o la reducción de la velocidad de inyección. Además, los enfoques previos de dinámica de teclado se centraban en la autenticación de usuarios (distinguir a un usuario legítimo de un impostor específico), lo cual no es aplicable a la defensa contra inyección, donde el objetivo es distinguir entre entrada humana y entrada automatizada, independientemente de la identidad del usuario.

El desafío principal radica en desarrollar un sistema de detección que sea:

• Robusto: Capaz de detectar inyecciones incluso cuando el atacante intenta imitar el comportamiento humano.
• Privado: Que no requiera acceder al contenido semántico de lo que se escribe (para evitar problemas de privacidad).
• Eficiente: Que funcione en tiempo real con bajo costo computacional.

2. Metodología

Los autores proponen un marco de evaluación sistemático basado en cinco preguntas de investigación (RQs), utilizando un pipeline de tres etapas:

A. Modelos de Amenaza y Generación de Datos
Se definieron tres familias de atacantes con niveles crecientes de sofisticación, utilizando un conjunto de datos público de escritura humana como base:

1. Atacante de Mínimo Esfuerzo (Naive): Utiliza generadores pseudoaleatorios (PRNG) o muestreo estadístico simple sin modelar estructuras temporales realistas.
2. Atacante Estadístico Contextual: Utiliza generadores que condicionan los tiempos de escritura basándose en teclas anteriores (dependencias de primer orden o modelos de contexto finito), preservando estadísticas de orden superior.
3. Atacante Adaptativo (GAN): Utiliza Redes Generativas Antagónicas (WGAN-GP) para aprender y aproximar directamente las distribuciones temporales complejas del comportamiento humano, incluyendo variantes condicionadas y no condicionadas.

B. Modelos de Detección
Se evaluaron modelos ligeros que operan únicamente sobre características temporales:

• Tiempo de retención (Hold Time - HT): Duración en que se mantiene presionada una tecla.
• Tiempo de vuelo (Flight Time - FT): Intervalo entre soltar una tecla y presionar la siguiente.
• Algoritmos: Random Forest (RF), SVM, CNN 1D, LSTM y BiLSTM.

C. Estrategias de Entrenamiento y Evaluación

• Entrenamiento por Generador Único: Para evaluar la separabilidad básica.
• Entrenamiento Mixto: Para evaluar la generalización. Se probaron configuraciones Balanceadas (representación igual de generadores) y Desbalanceadas (priorizando generadores con mayor capacidad de transferencia).
• Análisis de Ventana: Se varió la longitud de la secuencia de teclas (de 10 a 1000) para estudiar el equilibrio entre la detección temprana y la fiabilidad.

3. Contribuciones Clave

1. Primera caracterización sistemática: Enmarcan el problema como discriminación "Humano vs. Máquina" independiente de la identidad del usuario, eliminando la necesidad de perfiles de usuario.
2. Privacidad y Ligereza: Demuestran que la detección robusta es posible usando solo características de tiempo (HT/FT) sin acceder al contenido del texto, utilizando modelos ligeros (como Random Forest).
3. Hallazgo sobre la complejidad del atacante: Revelan que la sofisticación estadística del atacante no se traduce linealmente en una mejor evasión. La diversidad estructural de las estrategias de generación es más crítica que la complejidad del modelo.
4. Optimización del entrenamiento: Identifican que la robustez depende de cubrir familias de atacantes estructuralmente distintas en lugar de entrenar con todos los generadores posibles, reduciendo la complejidad del entrenamiento.
5. Puntos de operación prácticos: Cuantifican el compromiso entre la latencia de detección y la fiabilidad, identificando ventanas óptimas de observación.

4. Resultados Principales

• RQ1 (Viabilidad): Sí, es posible detectar inyecciones HID de forma fiable utilizando modelos ligeros (Random Forest) basados solo en tiempos, sin necesidad de datos de identidad o contenido.
• RQ2 (Generalización): Los detectores no generalizan bien entre generadores específicos, pero sí entre familias estructurales. Entrenar con un representante de cada familia de ataque (ej. un generador PRNG, uno estadístico y uno GAN) es suficiente para cubrir a toda la familia.
• RQ3 (Estrategia de Entrenamiento): Las configuraciones de entrenamiento desbalanceadas (UC), que priorizan generadores con mayor capacidad de transferencia (como Histogramas No Estacionarios - NS-Hist), logran el mejor equilibrio entre robustez y especificidad. El entrenamiento mixto balanceado a veces diluye la capacidad de detección.
• RQ4 (Latencia vs. Fiabilidad): El rendimiento de detección se satura rápidamente. Con 70 teclas, la mayoría de los detectores alcanzan un ROC-AUC > 0.9. Aumentar la ventana más allá de 100 teclas ofrece ganancias marginales pero aumenta el riesgo de que el ataque se complete antes de ser detectado.
• RQ5 (Sofisticación del Atacante): Aumentar la sofisticación del generador (ej. usar GANs) no garantiza una mejor evasión. De hecho, los detectores entrenados con modelos simples pero estructuralmente diversos (como Histogramas) a menudo generalizan mejor a los ataques GAN que los detectores entrenados específicamente con GANs. La diversidad estructural es más importante que la complejidad del modelo generativo.

5. Significado e Impacto

Este trabajo cambia el paradigma de la defensa contra inyección HID:

• De la complejidad a la cobertura: No se necesita un modelo de IA masivo y complejo para detectar ataques. Se necesita una cobertura estadística adecuada de las distintas formas en que un atacante puede generar tiempos.
• Privacidad por diseño: Al eliminar la necesidad de leer el texto escrito, el sistema es viable para entornos corporativos y gubernamentales donde la privacidad es crítica.
• Viabilidad de despliegue: Los resultados demuestran que la detección continua en segundo plano es computacionalmente viable (baja latencia y uso de CPU), permitiendo una mitigación temprana de ataques sin interrumpir la experiencia del usuario legítimo.

En conclusión, el estudio demuestra que es posible construir defensas prácticas y robustas contra el "Rubber Ducky" basándose puramente en la dinámica temporal de la escritura, priorizando la diversidad de los datos de entrenamiento sobre la complejidad algorítmica.