요약

  • 2026년 9월 21일부터 27일까지 APNIC의 ADBHoney에 출처 IP 1,841개가 연결됐다. 가장 흔한 스크립트는 IP 89개에서 실행됐고, 이미 있는 채굴 앱 두 개를 확인했다. APNIC이 추적한 세션에서는 봇이 이후 자기 채굴 바이너리를 올려 실행했다.
  • 별도의 드로퍼는 앱에 모든 권한을 주고 기기 부팅을 위장한 뒤 경쟁 봇 앱 일곱 개를 이름으로 삭제했다. 이 기록은 외부에 노출된 안드로이드 디버깅 인터페이스를 두고 벌어지는 앱 통제 경쟁을 보여준다.

첫 명령은 재고 확인이었다. 스크립트는 무엇인가를 설치하기 전에 안드로이드 기기에 다른 채굴 앱이 있는지부터 물었다.

이 순서는 APNIC의 Senior Internet Security Specialist인 Adli Wahid가 재구축된 APNIC 허니넷을 소개하며 쓴 보고서에 담겼다. ADBHoney는 안드로이드 휴대전화나 TV 박스를 흉내 내고 Android Debug Bridge를 5555번 포트에 노출하는 미끼다. 9월 21일부터 27일까지 관측한 주간에 출처 IP 1,841개가 연결됐다. 표에는 ADBHoney 이벤트 23,000건이 기록돼 있다.

가장 흔한 스크립트는 IP 89개에서 실행됐으며 세 가지를 확인했다. pm path com.ufo.miner, ps | grep com.ufo.miner, ps | grep trinity다. 첫 명령은 앱이 설치된 위치를 찾고, 나머지 두 명령은 실행 중인 프로세스를 검색한다. APNIC이 추적한 세션에서는 봇이 뒤이어 자기 채굴 바이너리를 올려 실행했다.

순서가 중요하다. 스크립트는 기기에 이미 무엇이 있는지 먼저 확인한다. 추적된 세션에서는 그다음 자기 채굴 앱을 올렸다. APNIC은 이와 별개로 더 공격적으로 설치하는 드로퍼도 기록했다. 자기 앱에 모든 권한을 미리 주고 기기가 부팅된 것처럼 이벤트를 만들어 앱을 바로 시작한 뒤 경쟁 봇 앱 일곱 개를 이름으로 삭제한다. 보고서는 그 앱 이름을 공개하지 않았다.

이것은 하나의 연속된 스크립트가 아니라 별개의 두 관측이다. 함께 보면 디버깅 인터페이스가 왜 점유 경쟁의 표면이 되는지 드러난다. 이미 설치된 채굴 앱은 같은 안드로이드 기기의 자원을 사용한다. 경쟁 앱을 지우면 새 앱이 들어갈 자리가 생긴다. 경쟁 대상은 스캔 기록 한 줄이 아니라 코드를 실행하고 네트워크에 접속할 수 있는 기기다.

ADB는 개발자를 위한 제어 인터페이스다. 안드로이드 공식 문서는 TCP/IP 디버깅 설정에서 기기가 5555번 포트에서 수신하도록 명시적으로 설정하는 절차를 설명한다. APNIC의 미끼는 비슷한 인터페이스가 인터넷에서 응답할 때 어떤 일이 가능한지 보여준다. 원격 프로세스가 패키지와 실행 프로세스를 확인하고, 명령을 보내고, 파일을 옮기며, 앱 상태를 바꾸려 할 수 있다. ADBHoney는 통제된 모사 장치다. 따라서 기록은 미끼를 향한 시도이지 실제 휴대전화나 TV 박스에서 변경이 성공했다는 증거가 아니다.

APNIC은 명령 109건과 파일 전송 28건을 보고했지만, 각각이 고유 IP, 세션, 명령, 파일 중 무엇을 세는지 밝히지 않았다. 이 단위가 있어야 연결 1,841건과 비교할 수 있다. 공개 기록은 명령 순서와 추적된 세션에서의 업로드를 뒷받침하지만 실제 기기 수나 운영자를 식별하지는 않는다.

실무 신호는 “5555번 포트에 연결됐다”에서 끝나지 않는다. 이후의 순서가 중요하다. 패키지 조회, 프로세스 확인, 파일 전송, 앱 설치, 권한 부여, 부팅 실행, 경쟁 앱 삭제다. 연결 총계보다 더 쓸모 있는 질문은 이것이다. 누가 디버깅 인터페이스에 닿을 수 있고, 기기는 그 다음 무엇을 허용했는가?

출처