Resumen

  • Entre el 21 y el 27 de septiembre de 2026, el señuelo ADBHoney de APNIC recibió conexiones de 1.841 IP de origen. El script más común, ejecutado por 89 IP, buscó dos mineros existentes antes de que el bot cargara y ejecutara sus propios binarios en las sesiones que APNIC siguió.
  • Un dropper distinto concedió todos los permisos a su aplicación, simuló el arranque del dispositivo y eliminó por nombre siete apps de botnet competidoras. El registro muestra una disputa por el control de aplicaciones en una interfaz de depuración Android expuesta.

El primer comando hizo inventario. Antes de instalar nada, el script preguntó si otro minero ya ocupaba el dispositivo Android.

La secuencia aparece en el informe de Adli Wahid sobre el honeynet reconstruido de APNIC. Wahid es Senior Internet Security Specialist de APNIC. Su artículo describe ADBHoney, un señuelo que imita un teléfono o una caja de TV Android y expone Android Debug Bridge en el puerto 5555. Durante la semana observada, del 21 al 27 de septiembre, se conectaron 1.841 IP de origen. La tabla atribuye 23.000 eventos a ADBHoney.

El script más frecuente, ejecutado por 89 IP, lanzó tres comprobaciones: pm path com.ufo.miner, ps | grep com.ufo.miner y ps | grep trinity. La primera busca dónde está instalada una aplicación; las otras buscan procesos activos. En las sesiones que APNIC siguió, el bot cargó y ejecutó después sus propios binarios de minería.

El orden importa. El script empieza por averiguar qué funciona ya en el dispositivo. En las sesiones observadas, el siguiente paso fue colocar otro minero. APNIC también describe un segundo dropper, independiente, con una instalación más agresiva: concede todos los permisos a su aplicación, simula el arranque del dispositivo para iniciarla enseguida y elimina por nombre siete aplicaciones de botnet competidoras. El informe no publica esos nombres.

Son dos observaciones distintas, no un único script continuo. Juntas explican por qué una interfaz de depuración puede convertirse en territorio disputado. Un minero ya instalado es otro proceso que consume los recursos de la misma caja Android; un dropper que elimina competidores despeja el camino para su aplicación. El premio es un dispositivo capaz de ejecutar código y conectarse a la red, no una línea más en un registro de escaneos.

ADB es una interfaz de control para desarrolladores. La documentación de Android describe una configuración TCP/IP que pone explícitamente el dispositivo a escuchar en el puerto 5555. El señuelo de APNIC muestra qué ocurre cuando una interfaz comparable responde desde Internet: un proceso remoto puede inspeccionar paquetes y procesos, ejecutar comandos, transferir archivos e intentar modificar el estado de las aplicaciones. ADBHoney es una imitación controlada; sus registros capturan intentos contra el señuelo, no cambios exitosos en teléfonos o cajas de TV reales.

APNIC informa de 109 comandos y 28 transferencias de archivos, pero no define si esos datos cuentan IP únicas, sesiones, comandos o archivos. La unidad faltante determina si se pueden comparar con las 1.841 conexiones. La evidencia publicada sostiene la secuencia de comandos y las cargas vistas en las sesiones seguidas; no aporta un recuento de dispositivos reales ni identifica a un operador.

La señal práctica no es solo «alguien tocó el puerto 5555». Es el orden posterior: buscar un paquete, inspeccionar procesos, transferir archivos, instalar una aplicación, conceder permisos, activar el arranque y eliminar apps rivales. Esa secuencia plantea una pregunta más útil que el total de conexiones: ¿quién puede llegar a la interfaz de depuración y qué permite hacer el dispositivo?

Fuentes