摘要

  • 2026 年 9 月 21 日至 27 日，APNIC 的 ADBHoney 收到 1,841 个源 IP 的连接。最常见的脚本由 89 个 IP 执行，先检查两种已有挖矿程序；在 APNIC 跟踪的会话中，机器人随后上传并启动自己的矿工。
  • 另一种投放程序会给应用预授全部权限、伪造设备开机事件，并按名称删除七个竞争机器人应用。记录呈现的是恶意程序围绕暴露的 Android 调试接口争夺应用控制权。

第一条命令是在点名。脚本还没安装东西，就先问这台 Android 设备里是不是已经有别的矿工。

这段顺序出现在 Adli Wahid 对 APNIC 重建蜜网的报告里。Wahid 是 APNIC 的 Senior Internet Security Specialist。报告介绍了 ADBHoney：它模拟 Android 手机或电视盒子，把 Android Debug Bridge 接口暴露在 5555 端口。9 月 21 日至 27 日这一周，1,841 个源 IP 连接了这个传感器；表格为 ADBHoney 记录了 23,000 条事件。

最常见的脚本由 89 个 IP 执行，连续运行三项检查：pm path com.ufo.miner、ps | grep com.ufo.miner 和 ps | grep trinity。第一条查询应用安装位置，后两条搜索运行中的进程。APNIC 跟踪的会话随后出现了另一动作：机器人上传并启动自己的挖矿二进制文件。

先后顺序说明了什么。脚本先盘点设备上已有的程序，再决定如何进入。在 APNIC 跟踪的会话中，后续动作是放入另一个矿工。报告还描述了另一个独立的投放程序：它给自己的应用预授全部权限，伪造设备启动事件让应用立即运行，然后按名称删除七个竞争机器人应用。APNIC 没有公布这些应用的名称。

这是两种不同观察，不是一条连续脚本。它们共同说明，调试接口可能变成争夺地盘的入口。设备上已经运行的矿工会占用同一台 Android 盒子的资源；删除竞争应用，则为新的程序清出位置。被争夺的是一台能运行代码并连接网络的设备，而不是扫描日志里的一行记录。

ADB 是供开发者使用的控制接口。Android 官方文档介绍的 TCP/IP 调试流程，会明确把设备设置为在 5555 端口监听。APNIC 的蜜罐展示了类似接口从公网应答后会发生什么：远端进程可以查看软件包和进程、执行命令、传输文件，并尝试更改应用状态。ADBHoney 是受控模拟器，因此日志记录的是针对蜜罐的尝试，不是对真实手机或电视盒子的成功改动。

APNIC 报告了 109 条命令和 28 次文件传输，却没有说明计数单位是独立 IP、会话、命令还是文件。这个定义决定了它们能否和 1,841 个连接放在同一条漏斗里比较。公开记录支持命令序列以及跟踪会话中的上传行为，没有给出真实设备数量，也没有归因到某个操作者。

值得关注的信号不只是“5555 端口收到连接”，而是连接之后的动作顺序：查询软件包、检查进程、传输文件、安装应用、授予权限、触发开机启动、移除竞争应用。它把问题从连接总数推进一步：谁能接触调试接口，设备随后允许对方做什么？

来源