Кратко

  • С 21 по 27 сентября 2026 года к ADBHoney от APNIC подключились 1 841 IP-адрес источника. Самый распространённый скрипт запускался с 89 IP-адресов и проверял два уже установленных майнера; в сессиях, за которыми следила APNIC, бот затем загружал и запускал собственные бинарные файлы.
  • Другая программа выдала приложению все разрешения, имитировала загрузку устройства и удалила по именам семь конкурирующих приложений-ботов. Запись показывает борьбу за контроль приложений через открытую интерфейсную отладку Android.

Первая команда провела перекличку. Прежде чем что-либо устанавливать, скрипт выяснил, не работает ли на Android-устройстве другой майнер.

Эта последовательность приведена в отчёте Adli Wahid о перестроенной honeynet-сети APNIC. Wahid — Senior Internet Security Specialist в APNIC. В отчёте описан ADBHoney: приманка, имитирующая Android-смартфон или ТВ-приставку и открывающая Android Debug Bridge на порту 5555. За неделю наблюдений, с 21 по 27 сентября, подключились 1 841 IP-адрес источника. В таблице для ADBHoney указано 23 000 событий.

Самый частый скрипт, запущенный с 89 IP, выполнил три проверки: pm path com.ufo.miner, ps | grep com.ufo.miner и ps | grep trinity. Первая ищет путь установки приложения, две другие — работающие процессы. В сессиях, которые отслеживала APNIC, бот после этого загружал и запускал собственные майнинговые бинарные файлы.

Порядок действий имеет значение. Скрипт сначала выясняет, что уже работает на устройстве. В отслеженных сессиях затем появлялся ещё один майнер. APNIC описывает и другую, отдельную программу с более жёсткой установкой: она заранее выдаёт приложению все разрешения, имитирует загрузку устройства для немедленного запуска, а затем удаляет по именам семь конкурирующих приложений-ботов. Их названия в отчёте не опубликованы.

Это два разных наблюдения, а не одна непрерывная последовательность команд. Вместе они показывают, как открытый интерфейс отладки Android становится спорной территорией. Уже установленный майнер использует ресурсы того же Android-устройства; удаление конкурентов освобождает место для нового приложения. Цель — устройство, которое выполняет код и выходит в сеть, а не просто ещё одна строка в журнале сканирования.

ADB — интерфейс управления для разработчиков. В официальной документации Android описана настройка TCP/IP, при которой устройство явно начинает слушать порт 5555. Приманка APNIC показывает, что происходит, когда похожий интерфейс отвечает из интернета: удалённый процесс может изучать пакеты и процессы, отправлять команды, передавать файлы и пытаться менять состояние приложений. ADBHoney — контролируемая имитация; журнал фиксирует попытки против приманки, а не успешные изменения на настоящих смартфонах или ТВ-приставках.

APNIC указывает 109 команд и 28 передач файлов, но не определяет, что именно считалось: уникальные IP, сессии, команды или файлы. От этой единицы зависит, можно ли сравнить данные с 1 841 подключением. Публикация подтверждает последовательность команд и загрузки в отслеженных сессиях; она не сообщает число реальных устройств и не называет оператора.

Практический сигнал — не просто «к порту 5555 подключились». Важна последовательность после подключения: запрос пакета, просмотр процессов, передача файла, установка приложения, выдача разрешений, запуск при загрузке и удаление конкурентов. Она ставит более полезный вопрос, чем общее число соединений: кто может достичь отладочного интерфейса и что устройство разрешает сделать дальше?

Источники