Resumo

  • Entre 21 e 27 de setembro de 2026, o ADBHoney da APNIC recebeu conexões de 1.841 IPs de origem. O script mais comum, executado por 89 IPs, verificava dois mineradores já existentes; nas sessões acompanhadas pela APNIC, o bot depois enviava e iniciava seus próprios binários.
  • Um dropper separado concedia todas as permissões ao aplicativo, simulava a inicialização do aparelho e removia pelo nome sete aplicativos de botnet concorrentes. O registro mostra uma disputa pelo controle de aplicativos através de uma interface de depuração Android exposta.

O primeiro comando fez um inventário. Antes de instalar qualquer coisa, o script perguntou se outro minerador já ocupava o aparelho Android.

Essa sequência aparece no relato de Adli Wahid sobre o honeynet reconstruído da APNIC. Wahid é Senior Internet Security Specialist da APNIC. O texto descreve o ADBHoney, uma isca que imita um celular ou TV box Android e expõe o Android Debug Bridge na porta 5555. Durante a semana observada, de 21 a 27 de setembro, 1.841 IPs de origem se conectaram. A tabela registra 23 mil eventos no ADBHoney.

O script mais comum, executado por 89 IPs, rodava três verificações: pm path com.ufo.miner, ps | grep com.ufo.miner e ps | grep trinity. A primeira procura o caminho de instalação de um app; as outras duas buscam processos em execução. Nas sessões que a APNIC acompanhou, o bot enviou e iniciou seus próprios binários de mineração.

A ordem muda a leitura. O script começa descobrindo o que já está instalado. Nas sessões acompanhadas, a ação seguinte foi colocar outro minerador no aparelho. A APNIC também descreve outro dropper, separado, com uma instalação mais agressiva: ele concede todas as permissões ao app, simula a inicialização do aparelho para que o programa rode imediatamente e apaga pelo nome sete aplicativos de botnet concorrentes. O relato não publica esses nomes.

São duas observações distintas, não uma única sequência de comandos. Juntas, mostram por que uma interface de depuração pode virar território disputado. Um minerador já instalado consome recursos do mesmo aparelho Android; apagar aplicativos rivais abre espaço para o próprio programa. O ativo em disputa é um dispositivo que executa código e se conecta à rede, não apenas mais uma linha num log de varredura.

ADB é uma interface de controle para desenvolvedores. A documentação oficial do Android descreve uma configuração TCP/IP que coloca deliberadamente o dispositivo em escuta na porta 5555. A isca da APNIC mostra o que pode ocorrer quando uma interface semelhante responde pela Internet: um processo remoto consegue inspecionar pacotes e processos, enviar comandos, transferir arquivos e tentar alterar o estado dos aplicativos. O ADBHoney é uma imitação controlada; seus registros documentam tentativas contra a isca, não alterações bem-sucedidas em celulares ou TV boxes reais.

A APNIC relata 109 comandos e 28 transferências de arquivos, mas não define se esses números representam IPs únicos, sessões, comandos ou arquivos. Essa unidade determina se os dados podem ser comparados às 1.841 conexões. O registro publicado sustenta a sequência de comandos e os uploads vistos nas sessões acompanhadas; não informa a quantidade de aparelhos reais nem identifica um operador.

O sinal útil não é apenas “a porta 5555 recebeu uma conexão”. É a ordem depois dela: consulta de pacote, inspeção de processos, transferência de arquivo, instalação, concessão de permissões, gatilho de inicialização e remoção de aplicativos rivais. Essa sequência leva a uma pergunta mais útil que o total de conexões: quem alcança a interface de depuração e o que o aparelho permite fazer em seguida?

Fontes