O que é o THost9

Pesquisadores da Dark Atlas divulgaram uma análise de um malware para Android chamado THost9. Ele faz parte de um conjunto de ameaças identificado como Hagaseca e funciona como um RAT, sigla para trojan de acesso remoto.

Na prática, isso significa que, depois de instalado, o malware pode permitir que um criminoso execute comandos no aparelho, envie ou copie arquivos, instale componentes adicionais e mantenha acesso remoto ao dispositivo.

O THost9 pode procurar dispositivos Android vulneráveis pela rede quando encontra configurações inseguras de ADB.

Por que o Wi-Fi chama atenção

O recurso mais incomum do THost9 é sua capacidade de procurar outros dispositivos Android acessíveis pela rede. Para isso, ele explora o ADB, Android Debug Bridge, ferramenta criada para testes e desenvolvimento de aplicativos.

Se um aparelho estiver com o ADB acessível pela rede e permitir a conexão, o malware pode instalar uma cópia de si mesmo nesse dispositivo. A nova vítima também pode procurar outros aparelhos vulneráveis, o que cria um comportamento semelhante ao de um worm.

É por isso que algumas manchetes dizem que o THost9 consegue se espalhar pelo Wi-Fi.

Estar no mesmo Wi-Fi não basta

Apesar do alerta, o THost9 não infecta automaticamente qualquer celular conectado à mesma rede.

O ataque depende de condições específicas. O dispositivo precisa ter o ADB acessível e o malware precisa conseguir uma conexão autorizada ou aproveitar uma configuração insegura. Os pesquisadores também encontraram casos relacionados a ambientes Redroid, usados para executar Android em servidores e contêineres.

Até o momento, não há indicação de que o THost9 explore uma falha que permita infectar qualquer Android simplesmente porque o aparelho está conectado ao Wi-Fi.

O que o malware pode fazer

Depois de obter acesso, o THost9 pode executar comandos do sistema, transferir arquivos, criar túneis de comunicação, abrir acesso remoto e baixar novos módulos.

O malware também possui recursos ligados ao serviço de Acessibilidade do Android. Quando consegue as permissões necessárias, pode interagir com elementos da tela e executar ações no aparelho.

Além disso, tenta dificultar sua identificação. Algumas amostras removem sua atividade da lista de aplicativos recentes e mantêm serviços ativos em segundo plano.

Como se proteger

Para o usuário comum, a principal recomendação é não manter a Depuração USB ou a Depuração sem fio ativadas sem necessidade.

Também vale manter o Android atualizado, instalar aplicativos apenas de fontes confiáveis e desconfiar de solicitações inesperadas de autorização para depuração ou Acessibilidade.

Empresas, desenvolvedores e administradores que usam ADB, dispositivos Android virtualizados ou Redroid precisam de atenção especial. O ADB não deve ficar exposto diretamente à internet, e as chaves e dispositivos autorizados devem passar por revisão periódica.

O risco é específico, mas merece atenção

O THost9 mostra como um recurso legítimo do Android pode se transformar em uma porta de entrada quando fica exposto de forma inadequada.

Para a maioria dos usuários, o simples fato de usar Wi-Fi não representa infecção automática. O maior risco está em aparelhos com recursos de desenvolvimento ativos, configurações inseguras ou interfaces ADB acessíveis pela rede.

Leia também

Confira outros conteúdos sobre ameaças digitais, segurança de dispositivos e exposição de redes.

• A nova ameaça que está transformando celulares Android em ferramentas para fraudes bancárias
• Novo TrickBot usa túnel DNS para controlar PCs Windows
• Como descobrir quem está conectado ao seu Wi-Fi

Proteja os dispositivos da sua empresa

A Valente Soluções pode ajudar sua empresa a revisar práticas de segurança, acessos remotos e exposição de dispositivos. Para avaliar seu ambiente, fale conosco.

Nota: Todas as imagens utilizadas neste artigo foram geradas com o auxílio de inteligência artificial por meio do ChatGPT 6 e Nano Banana 2, com o objetivo de ilustrar o conteúdo de forma didática e acessível aos nossos leitores.