要約

  • 2026年9月21日から27日までに、APNICのADBHoneyへ1,841の送信元IPが接続した。最も多かったスクリプトは89のIPで実行され、既存の採掘アプリを2つ調べた。APNICが追跡したセッションでは、その後ボットが自分の採掘バイナリをアップロードして起動した。
  • 別のドロッパーはアプリに全権限を付与し、端末の起動イベントを偽装して、競合するボットアプリ7本を名前で削除した。記録が示すのは、公開されたAndroidデバッグ機能を介したアプリ制御の争奪だ。

最初のコマンドは、先客の確認だった。何かを入れる前に、スクリプトはAndroid端末に別の採掘アプリがないかを調べた。

この手順は、APNICのセキュリティ専門家Adli Wahidが再構築したHoneynetについて書いた報告にある。WahidはAPNICのSenior Internet Security Specialistだ。ADBHoneyはAndroidのスマートフォンやTVボックスを模倣し、Android Debug Bridgeを5555番ポートで公開するおとりである。9月21日から27日までの観測で、1,841の送信元IPが接続し、センサー表には23,000件のイベントが記録された。

最多のスクリプトは89のIPで実行され、pm path com.ufo.miner、ps | grep com.ufo.miner、ps | grep trinity の3つを順に調べた。最初のコマンドはアプリの導入先を、後の2つは実行中のプロセスを探す。APNICが追跡したセッションでは、ボットが続けて自分の採掘バイナリをアップロードし、起動した。

順序が重要だ。スクリプトは端末で何がすでに動いているかを確認してから動く。追跡されたセッションでは、その後に別の採掘アプリが置かれた。APNICは、これとは別のドロッパーも報告している。アプリにすべての権限をあらかじめ与え、端末が起動したように見せて即時実行し、競合するボットアプリ7本を名前で削除する。報告はそのアプリ名を明かしていない。

これは連続した一つのスクリプトではなく、二つの観測だ。合わせて見ると、デバッグ機能が端末をめぐる争奪の入口になる仕組みが分かる。既存の採掘アプリは同じAndroid機器の処理資源を使う。競合アプリの削除は、自分のアプリの場所を空ける。争われているのはスキャン記録の一行ではなく、コードを実行してネットワークに接続できる端末だ。

ADBは開発者が使う制御インターフェースである。Android公式文書のTCP/IPデバッグ手順では、端末を5555番ポートで待ち受けるよう明示的に設定する。APNICのおとりは、同等の機能がインターネットから応答した場合に何が起きるかを示す。遠隔プロセスはパッケージやプロセスを調べ、コマンドを送り、ファイルを転送し、アプリの状態を変えようとする。ADBHoneyは管理された模擬環境なので、その記録はおとりへの試行を示し、実際のスマートフォンやTVボックスで変更が成功したことを示すものではない。

APNICは109件のコマンドと28件のファイル転送を報告したが、数えた単位が固有IP、セッション、コマンド、ファイルのどれかを示していない。この定義がなければ、1,841件の接続と比較できるか判断できない。公開記録が裏付けるのはコマンドの順序と追跡セッションでのアップロードであり、実端末の台数や操作者の特定ではない。

見るべきなのは「5555番ポートに接続があった」という一点ではない。接続後の順序、つまりパッケージ照会、プロセス確認、ファイル転送、アプリ導入、権限付与、起動トリガー、競合アプリの削除である。接続数だけを見るより、「誰がデバッグ機能に到達でき、端末はその先で何を許したか」と問う方が、運用上の判断につながる。

出典