Novo RAT Android THost9 Explora Serviços ADB Expostos com Worm Malicioso

O THost9 RAT, recém-descoberto, se diferencia pela sofisticação do seu mecanismo de propagação. Ele emprega um componente worm que realiza varreduras ativas na internet. A busca é por interfaces ADB (Android Debug Bridge) abertas e desprotegidas, um recurso técnico para depuração que, se exposto, vira um vetor de ataque. Ao encontrar uma porta ADB vulnerável, o THost9 usa chaves de autenticação pré-determinadas para instalar seu payload, tc9.dex.

Uma vez instalado, o THost9 concede controle extensivo ao atacante. Isso inclui acesso shell para comandos diretos, capacidade de transferência de arquivos para exfiltração de dados ou injeção de mais malware, e tunelamento para criar canais seguros para comunicação maliciosa. A ameaça não se limita a smartphones; ela também atinge contêineres Redroid, ambientes virtualizados de Android, expandindo o risco para infraestruturas de desenvolvimento e testes.

Nossa cobertura anterior já alertava sobre a exploração de interfaces ADB. Em agosto de 2026, a matéria "Kimwolf v7: Ameaça de Botnet IoT Evolui com Ataques HTTP/2 e C2 Resiliente" detalhou como a botnet Kimwolf v7 visava caixas Android TV usando interfaces ADB não autenticadas para suas operações. O THost9 representa uma evolução perigosa dessa tática.

Enquanto Kimwolf explorava ADB para criar uma botnet IoT, o THost9 foca em um Cavalo de Troia de Acesso Remoto (RAT), com funcionalidades de shell, transferência de arquivos e tunelamento. Ele também expande os alvos, não se restringindo a Android TVs, mas incluindo smartphones e contêineres Redroid. O THost9 usa um worm dedicado para propagação, adicionando uma camada de automação na descoberta e infecção de novos alvos, algo que não era o foco na descrição do Kimwolf.

Este ataque ressalta a urgência de uma gestão de segurança rigorosa para dispositivos Android em ambientes corporativos. A exposição de serviços ADB, muitas vezes esquecida ou subestimada, abre uma porta crítica para o comprometimento total. Empresas que utilizam Redroid ou dispositivos Android em larga escala precisam revisar suas políticas de segurança, garantindo que essas interfaces estejam devidamente protegidas e não acessíveis publicamente.

A não observância pode levar a vazamento de dados sensíveis, interrupção de operações e danos reputacionais severos. Proteger as configurações de depuração é um passo simples, mas crucial, para mitigar riscos de cibersegurança.