Un nuovo malware Android, denominato THost9, combina un loader nascosto con un worm che scansiona e infetta dispositivi con servizi ADB esposti. La minaccia, legata al cluster Hagaseca, rappresenta un rischio significativo per gli utenti Android.
Una nuova e insidiosa minaccia è emersa nel panorama della sicurezza Android: un Remote Access Trojan (RAT), tracciato come THost9, che utilizza un approccio a due stadi per infiltrarsi nei dispositivi. La sua peculiarità risiede nella combinazione di un loader sofisticato, capace di nascondere il codice malevolo, con un worm che sfrutta le vulnerabilità dei servizi Android Debug Bridge (ADB) per diffondersi autonomamente.
La prima fase dell'attacco vede THost9 celare il suo codice eseguibile all'interno di un pacchetto applicativo Android. Secondo le ricerche condotte da Dark Atlas, il malware utilizza un asset incorporato per occultare il codice, che viene poi decodificato tramite un'operazione XOR a singolo byte e decompresso con gzip. Una volta recuperato, il payload viene caricato dinamicamente. Successivamente, il loader avvia un servizio in primo piano, rimuove la sua attività dalla vista delle app recenti di Android e utilizza una notifica quasi vuota per minimizzare la sua visibilità. In determinate circostanze, può attivare un servizio di accessibilità, concedendosi un controllo esteso sull'interfaccia del dispositivo, ma solo se il permesso di modifica delle impostazioni protette è già stato concesso.
La seconda fase del malware, denominata tc9.dex, espande notevolmente le sue capacità. Questa componente aggiunge funzionalità quali l'esecuzione di comandi shell, il trasferimento di file, il tunneling (per creare connessioni sicure o nascondere traffico), l'accesso reverse-shell e la possibilità di scaricare moduli aggiuntivi. In una delle versioni analizzate, è stato riscontrato un controller locale che accettava comandi senza alcuna autenticazione, sebbene non sia stato possibile determinare con certezza se il socket fosse accessibile da Internet.
I ricercatori hanno anche identificato una recente evoluzione del malware che include un controllo anti-analisi per Frida, un framework di strumentazione comunemente impiegato dai ricercatori di sicurezza per esaminare il comportamento del software. In presenza di Frida, il campione malevolo si interrompe, rendendo più complessa l'analisi.
La caratteristica più preoccupante di THost9 è senza dubbio la sua capacità di propagazione tramite un worm integrato nella seconda fase. Questo worm è in grado di individuare servizi ADB attivi sulla rete locale, sia attraverso meccanismi di discovery dei servizi Android, sia accettando target specifici forniti dall'operatore. Una volta individuato un dispositivo vulnerabile, il worm può espandere un singolo indirizzo a un intervallo di 65.025 host e sondarlo simultaneamente utilizzando fino a 50 processi paralleli.
L'autenticazione avviene tramite materiale di chiavi ADB predefinito. Dopo aver ottenuto l'accesso, il worm recupera il pacchetto di installazione e lo esegue sul dispositivo compromesso. Se la sessione remota dispone di privilegi elevati, il malware può modificare le impostazioni e le porte ADB, oltre a copiare se stesso in una directory di sistema, garantendo una persistenza più profonda.
I report di incidenti pubblici collegano THost9 e una sua variante precedente, THost4, a infezioni su telefoni Android e container Redroid che presentavano servizi ADB esposti. Le prime tracce di THost4 risalgono all'ottobre 2024, con infezioni documentate fino al 2026. Un caso specifico del luglio 2026 ha visto una distribuzione Redroid essere reindirizzata solo a localhost dopo essere stata infettata, indicando un tentativo di contenimento.
Dark Atlas sottolinea che la semplice scansione di un servizio ADB non garantisce di per sé l'accesso, ma i dati raccolti dagli incidenti e il codice del worm scanner confermano un legame diretto tra le infezioni e l'esposizione pubblica di ADB o Redroid.
I ricercatori hanno identificato il nome del pacchetto, il suo certificato di firma e due file di cache privati come punti chiave per il rilevamento. La raccomandazione principale è di rimuovere l'esposizione pubblica dei servizi ADB e di effettuare una revisione approfondita dei servizi di accessibilità e dei dati persistenti di Redroid sui dispositivi.
Il cluster di malware è stato denominato Hagaseca, basandosi sui nomi di namespace, certificati e classi condivisi tra i vari campioni. Tuttavia, le prove raccolte non hanno permesso di attribuire con certezza Hagaseca a un gruppo di minaccia specifico.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
