Zusammenfassung

  • Zwischen dem 21. und 27. September 2026 verzeichnete APNICs ADBHoney Verbindungen von 1.841 Quell-IP-Adressen. Das häufigste Skript lief von 89 IPs und prüfte zwei bereits vorhandene Miner. In den von APNIC verfolgten Sitzungen lud der Bot danach eigene Mining-Binaries hoch und startete sie.
  • Ein separater Dropper gab seiner App alle Berechtigungen, täuschte einen Geräte-Start vor und entfernte sieben konkurrierende Bot-Apps anhand ihrer Namen. Der Befund zeigt den Streit um App-Kontrolle über eine offengelegte Android-Debugschnittstelle.

Der erste Befehl war eine Bestandsaufnahme. Noch bevor etwas installiert wurde, prüfte das Skript, ob auf dem Android-Gerät bereits ein anderer Miner lief.

Diese Reihenfolge steht in Adli Wahids Bericht über APNICs erneuertes Honeynet. Wahid ist Senior Internet Security Specialist bei APNIC. Der Bericht beschreibt ADBHoney: einen Köder, der ein Android-Telefon oder eine TV-Box nachbildet und Android Debug Bridge über Port 5555 erreichbar macht. In der Messwoche vom 21. bis 27. September verbanden sich 1.841 Quell-IP-Adressen. Die Tabelle weist ADBHoney 23.000 Ereignisse zu.

Das häufigste Skript, ausgeführt von 89 IPs, startete drei Prüfungen: pm path com.ufo.miner, ps | grep com.ufo.miner und ps | grep trinity. Der erste Befehl sucht den Installationspfad einer App, die beiden anderen nach laufenden Prozessen. In den Sitzungen, die APNIC verfolgte, lud der Bot anschließend eigene Mining-Binaries hoch und startete sie.

Die Reihenfolge ist entscheidend. Das Skript stellt zuerst fest, was auf dem Gerät bereits läuft. In den verfolgten Sitzungen folgte dann ein weiterer Miner. APNIC beschreibt außerdem einen zweiten, separaten Dropper mit aggressiverer Installation: Er erteilt seiner App alle Berechtigungen, simuliert einen Gerätestart für den sofortigen Start und entfernt sieben konkurrierende Bot-Apps anhand ihrer Namen. APNIC nennt diese Namen nicht.

Das sind zwei getrennte Beobachtungen, kein durchgehendes Skript. Zusammengenommen zeigen sie, warum eine Debugschnittstelle zum umkämpften Gebiet wird. Ein vorhandener Miner nutzt Ressourcen derselben Android-Box; das Entfernen der Konkurrenz schafft Platz für die eigene App. Umkämpft ist ein Gerät, das Code ausführt und das Netzwerk erreicht, nicht bloß ein Eintrag in einem Scanprotokoll.

ADB ist eine Steuerungsschnittstelle für Entwickler. Die offizielle Android-Dokumentation beschreibt eine TCP/IP-Konfiguration, bei der das Gerät ausdrücklich auf Port 5555 lauscht. APNICs Köder zeigt, was passiert, wenn eine vergleichbare Schnittstelle aus dem Internet antwortet: Ein entfernter Prozess kann Pakete und Prozesse untersuchen, Befehle senden, Dateien übertragen und den App-Zustand zu ändern versuchen. ADBHoney ist eine kontrollierte Nachbildung; seine Protokolle halten Versuche gegen den Köder fest, keine erfolgreichen Änderungen an realen Telefonen oder TV-Boxen.

APNIC nennt 109 Befehle und 28 Dateiübertragungen, definiert aber nicht, ob diese Zahlen eindeutige IPs, Sitzungen, Befehle oder Dateien zählen. Diese Einheit entscheidet, ob ein Vergleich mit den 1.841 Verbindungen möglich ist. Belegt sind die Befehlsfolge und Uploads in den verfolgten Sitzungen; eine Zahl realer Geräte oder eine Zuordnung zu einem Betreiber veröffentlicht der Bericht nicht.

Das praktische Signal lautet nicht nur: „Port 5555 wurde kontaktiert.“ Entscheidend ist die Abfolge danach: Paketabfrage, Prozessprüfung, Dateiübertragung, App-Installation, Rechtevergabe, Startauslöser und Entfernen konkurrierender Apps. Sie führt zu einer besseren Frage als die reine Verbindungszahl: Wer erreicht die Debugschnittstelle, und was darf das Gerät anschließend tun?

Quellen