مصيدة Adli Wahid تسجل حذف سبعة تطبيقات منافسة عبر ADB

الخلاصة

بين 21 و27 سبتمبر 2026، سجّلت مصيدة ADBHoney لدى APNIC اتصالات من 1,841 عنوان IP مصدرياً. ظهر النص الأكثر شيوعاً عبر 89 عنوان IP، وفحص وجود تطبيقَي تعدين؛ وفي الجلسات التي تابعتها APNIC، رفع الروبوت بعد ذلك ملفاته الخاصة وشغّلها.
أداة إسقاط منفصلة منحت تطبيقها كل الأذونات، وزيّفت إقلاع الجهاز، ثم حذفت سبعة تطبيقات روبوتات منافسة بأسمائها. تكشف السجلات تنافساً على التحكم في التطبيقات عبر واجهة تصحيح أندرويد مكشوفة.

رقم 5555 يصف المنفذ، لا ما جرى بعد أن أجابت عنه مصيدة ADBHoney. أحد البرامج النصية فتش عن com.ufo.miner ثم بحث في قائمة العمليات عن trinity؛ وفي رصد منفصل، أزالت أداة سبعة تطبيقات روبوتات منافسة بالاسم. ترتيب الأفعال هو القصة: فحص ما سبق، ثم محاولة فرض تطبيق جديد.

يظهر هذا التسلسل في تقرير Adli Wahid عن شبكة APNIC الخداعية بعد إعادة بنائها. يشغل Wahid منصب Senior Internet Security Specialist لدى APNIC. ويصف التقرير ADBHoney، وهي مصيدة تحاكي هاتفاً أو جهاز تلفاز يعمل بأندرويد وتكشف واجهة Android Debug Bridge على المنفذ 5555. خلال أسبوع الرصد من 21 إلى 27 سبتمبر، اتصل بها 1,841 عنوان IP مصدرياً؛ ويسجل الجدول 23 ألف حدث للمصيدة.

ظهر النص الأكثر شيوعاً عبر 89 عنوان IP، ونفّذ ثلاثة فحوص: pm path com.ufo.miner وps | grep com.ufo.miner وps | grep trinity. يبحث الأمر الأول عن موضع تثبيت التطبيق، ويبحث الأمران التاليان عن عمليات عاملة. وفي الجلسات التي تابعتها APNIC، رفع الروبوت بعد ذلك ملفات التعدين التنفيذية الخاصة به وشغّلها.

الترتيب مهم. يبدأ النص بمعرفة ما يعمل على الجهاز. وفي الجلسات المتابعة، كانت الخطوة التالية وضع عامل تعدين آخر. ويصف التقرير أداة إسقاط ثانية منفصلة ذات تثبيت أشد عدوانية: تمنح تطبيقها جميع الأذونات، وتحاكي إقلاع الجهاز كي يعمل فوراً، ثم تحذف سبعة تطبيقات روبوتات منافسة بالاسم. لا ينشر التقرير أسماء هذه التطبيقات.

هذه ملاحظتان منفصلتان، وليستا نصاً واحداً متصلاً. لكنهما تكشفان كيف تصبح واجهة التصحيح أرضاً يتنازعها أكثر من برنامج. عامل التعدين الموجود يستهلك موارد جهاز أندرويد نفسه؛ وحذف التطبيقات المنافسة يفسح المجال للتطبيق الجديد. المورد الذي يسعى إليه كل طرف جهاز يستطيع تشغيل الشيفرة والوصول إلى الشبكة، لا مجرد سطر في سجل المسح.

ADB واجهة تحكم للمطورين. وتشرح وثائق أندرويد الرسمية إعداد TCP/IP الذي يضع الجهاز عمداً في وضع الاستماع على المنفذ 5555. وتبين مصيدة APNIC ما يمكن أن يحدث حين تستجيب واجهة مماثلة من الإنترنت: يستطيع برنامج بعيد فحص الحزم والعمليات، وإرسال الأوامر، ونقل الملفات، ومحاولة تغيير حالة التطبيقات. ADBHoney محاكاة مضبوطة؛ لذا تسجل محاولات موجهة إلى المصيدة، لا تغييرات ناجحة على هواتف أو أجهزة تلفاز حقيقية.

تورد APNIC رقم 109 للأوامر و28 لنقل الملفات، لكنها لا تحدد إن كانت هذه الأعداد لعناوين IP فريدة أم جلسات أم أوامر أم ملفات. ويحدد هذا التعريف إمكانية مقارنتها بالاتصالات الـ1,841. تدعم السجلات المنشورة تسلسل الأوامر والرفع في الجلسات المتابعة؛ لكنها لا تقدم عدداً للأجهزة الحقيقية ولا تنسب النشاط إلى مشغّل بعينه.

الإشارة العملية ليست مجرد «وصل اتصال إلى المنفذ 5555». إنها ترتيب ما تلاه: فحص الحزم، ومعاينة العمليات، ونقل ملف، وتثبيت تطبيق، ومنحه الأذونات، وإطلاقه عند الإقلاع، ثم حذف التطبيقات المنافسة. ويقود هذا التسلسل إلى سؤال أدق من مجموع الاتصالات: من يستطيع الوصول إلى واجهة التصحيح، وما الذي يسمح الجهاز بفعله بعدها؟

المصادر