USB鼠标是否具有可用于存储恶意软件的内存？

我担心这可能会被标记为范围太广，但是在这里：

最近，我一直在考虑在外围设备上加载数据的可能性。鼠标是最常用的外围设备之一。我意识到有101种方法可以构建鼠标。为了将我的问题细化为几个，我提出以下问题：

1. 是否可以构建没有内存的鼠标？如果是这样，通常是否看到鼠标没有存储空间？
2. 假设鼠标确实有内存（如果这不是一个现实的假设，请指出），通常只看到ROM类型的内存吗？存储器可以像CMOS存储器一样闪烁吗？
3. 有没有人从鼠标的记忆中看到过计算机攻击/恶意软件攻击？

我问第三点，因为我最近一直在想的是对各种高级持续威胁进行的攻击的概括。

许多USB外设都包括基于闪存的微控制器。尽管基于掩模ROM的微控制器价格便宜，但是使用基于闪存的微控制器可以使制造商拥有一块可以插入各种OEM产品的板，每个OEM产品都标明出售的名称。某些外设包含允许从USB端口对其进行重新编程的固件。以这种方式配置它们可以使制造商以适合其最大批量客户的方式对零件进行预编程，并根据其他客户的需求对其进行重新编程。

如果鼠标恰好包含闪存微控制器，则恶意程序可能会将其重新编程为恶意软件感染设备。由于大多数鼠标不太可能使用特别大的微控制器，因此，如果要求将鼠标用作鼠标，则可能没有恶意软件的余地。另一方面，某些恶意软件可能会识别出易受攻击的鼠标并对其进行重新编程，以使其不再像鼠标一样工作，而当插入未受感染的计算机时却充当邪恶的代理。 [理论上，鼠标停止工作的人可能会在另一台计算机上对其进行测试]。

通常，以这样一种方式设计USB外围设备并不困难，即一旦加载了最终固件，便无法从USB端口重新加载它，但是没有通用的方法来区分可以免于重新编程的设备和未经过重新编程的设备。没错 还可以设计一个带有显示屏和一些按钮的“智能USB集线器”，当插入设备时，这些按钮会指示设备声称是什么，在计算机看到设备之前要求确认，以及将设备的通信限制为已批准使用其类型的设备，但我不知道是否有任何此类智能集线器设备可用。

USB键盘可用于在PC / Mac上执行有趣的操作。例如，您可以使用微控制器将USB键盘和鼠标组合成一个HID。

廉价的USB鼠标仍应使用不可重新编程的恕我直言的ASIC，因为屏蔽ROM的成本低于闪存。

是的，在网络攻击中绝对有可能使用鼠标（和一般的USB设备）。

无论廉价鼠标具有哪种类型的内存，通常都无法通过USB接口对其进行修改，因此攻击者将需要物理访问用于攻击的鼠标。结果，通常比制造具有很少的内存，小的处理能力且没有无线接口的真正的鼠标来制造模仿鼠标并具有大量内存（也许还有一些无线收发器）的自定义设备要容易得多。

有些设备更适合于此类目的。例如，大多数SD卡具有功能强大的控制器，并且固件通常可以升级，并受某种类型的密码保护。这样的密码是开发和测试团队众所周知的，并不意味着密码安全。通常使用诸如DEADBEEF或600DCOFFEE之类的有声说话的短语。而且，一旦您控制了SD卡，就无需花费额外的精力来获取敏感数据，只需要做的就是过滤它。同样，USB键盘是窃取密码的自然选择。说服计算机向鼠标发送文件或密码要困难得多。

使用鼠标将配置数据存储在自己的硬件上的鼠标绝对有可能。考虑一些价格昂贵的游戏鼠标-它们通常带有一个软件，可让您编辑板载配置，以便您可以通过鼠标某处的特殊按钮对其进行切换。某些鼠标方便地具有自动安装功能，就像您在移动互联网USB棒上看到的那样。从那时起，它取决于目标计算机的安全参数。如果启用了自动运行，则受感染的鼠标可能会以静默方式安装恶意软件，依此类推。