قامت شركة Samsung بإصلاح ثغرة النقر الصفري التي سمحت لبرامج التجسس LANDFALL عبر WhatsApp بشن هجمات في الشرق الأوسط

اكتشف الباحثون الأمنيون حملة تجسس استغلت ثغرة يوم الصفر في أجهزة Samsung Galaxy لتثبيت برنامج تجسس LANDFALL. ووقعت الهجمات بشكل رئيسي في العراق وإيران وتركيا والمغرب، باستخدام صور بتنسيق DNG مرسلة عبر تطبيق WhatsApp. سمح الخلل، الذي تم تحديده باسم CVE-2025-21042، بتنفيذ التعليمات البرمجية عن بعد دون تدخل المستخدم، وتم إصلاحه بواسطة Samsung في أبريل 2025.

بدأت الحملة، التي تم تتبعها باسم CL-UNK-1054، في تموز (يوليو) 2024 واستمرت لعدة أشهر قبل الإصلاح. تم إرسال عينات من البرامج الضارة إلى VirusTotal بواسطة المستخدمين في هذه المناطق، مما يشير إلى أهداف محددة. أضافت وكالة الأمن السيبراني والبنية التحتية الأمريكية الثغرة الأمنية إلى قائمة العيوب المستغلة في تشرين الثاني (نوفمبر) 2025، مما يتطلب إصلاحها عبر الوكالات الفيدرالية بحلول كانون الأول (ديسمبر).

Siga o Mix Vale no Google e veja nossas notícias primeiro

آلية استغلال صور DNG

تحاكي الملفات الضارة صور WhatsApp الشائعة، بأسماء مثل “IMG-20240723-WA0000.jpg”. تحتوي ملفات DNG هذه على ملف ZIP مضمن في النهاية، مستغلًا الكتابة خارج الحدود إلى مكتبة libimagecodec.quram.so.

بدأت العملية بالمعالجة التلقائية للصور، واستخراج المكتبات المشتركة لتنفيذ برامج التجسس. مكتبة أخرى تلاعبت بسياسة SELinux، ورفعت الامتيازات وضمنت استمرارية النظام.

لقد ألغى أسلوب النقر الصفري الحاجة إلى النقرات، مما جعل الهجوم غير قابل للاكتشاف في معظم الحالات. وتشمل الأجهزة المتأثرة طرازات Galaxy S22 وS23 وS24 وZ Fold4 وZ Flip4 التي تعمل بنظام التشغيل Android من 13 إلى 16.

إمكانات برامج التجسس LANDFALL

قامت LANDFALL بجمع البيانات بشكل شامل، والوصول إلى مصادر متعددة على الجهاز المخترق. ومن بين الوظائف، برز ما يلي:

• تسجيل الصوت عبر الميكروفون في الوقت الحقيقي.
• تتبع الموقع الجغرافي الدقيق.
• استخراج الصور وجهات الاتصال وسجل المكالمات.
• قراءة الرسائل القصيرة والملفات المخزنة.

بعد التثبيت، تتصل البرامج الضارة بخادم الأوامر والتحكم عبر HTTPS. وقد سمح هذا الاتصال بحلقات الإرشاد وتنزيل حمولات إضافية، مما أدى إلى توسيع عملياته.

سهّلت البنية المعيارية إجراء التحديثات عن بُعد، وتكييف برامج التجسس مع الدفاعات الناشئة. لاحظ الباحثون أن المكون الأولي يشير إلى نفسه باسم “Bridge Head”، وهو مصطلح شائع في أدوات تحميل الأدوات من شركات الهجمات الإلكترونية الخاصة.

أنماط مشابهة للعمليات المعروفة

كانت البنية التحتية للتحكم في LANDFALL متداخلة مع مجموعة Stealth Falcon، والتي تسمى أيضًا FruityArmor. ويستخدم هذا الممثل، المرتبط بالتجسس في الشرق الأوسط منذ عام 2012، تكتيكات مماثلة في حملات ضد الهجمات الإرهابية.الناشطون والصحفيون.

تزامنت تسجيلات النطاق ومعايير C2 جزئيًا، ولكن بدون دليل مباشر حتى أكتوبر 2025. ويشير التشابه إلى إمكانية استخدام الأدوات التجارية من قبل جهات حكومية أو خاصة.

تجنبت الحملة اكتشافها لعدة أشهر، مع وجود عينات عامة على VirusTotal منذ تموز (يوليو) 2024. ويكشف هذا عن صعوبة تحديد برمجيات استغلال الثغرات في المستودعات المفتوحة.

الثغرات الأمنية المتكررة في مكتبات الصور

تظهر العيوب في معالجات صور DNG كناقل متكرر في الهجمات على الأجهزة المحمولة. في سبتمبر 2025، قامت Samsung بتصحيح CVE-2025-21043 في نفس المكتبة، وتم استغلاله في البرية، ولكن بدون رابط مباشر إلى LANDFALL.

أبلغت واتساب في فترة مماثلة عن سلسلة من الثغرات الأمنية في نظامي التشغيل iOS وmacOS، مما أثر على أقل من 200 مستخدم. تشير هذه الحالات إلى موجة من عمليات استغلال النقرات الصفرية في تطبيقات المراسلة.

يعكس هذا الاتجاه تركيز المهاجمين على المكتبات المشتركة، مثل libimagecodec.quram.so، لتحقيق التنفيذ عن بعد. تعمل التحديثات المنتظمة على تخفيف المخاطر، ولكن يؤدي تأخير التصحيح إلى إطالة مدة التعرض للخطر.

إجراءات حماية المستخدمين

يجب على مالكي Galaxy التحقق من التحديثات الأمنية شهريًا. أدى تصحيح أبريل 2025 إلى إزالة CVE-2025-21042، لكن الأجهزة القديمة تظل عرضة للخطر.

قم بتعطيل التنزيلات التلقائية للوسائط على واتساب لتقليل المخاطر. تقوم أدوات مثل Google Play Protect بفحص التطبيقات والملفات بانتظامإن تي.

يمكن للشركات التي تمتلك أساطيل من أجهزة Samsung استخدام MDM لفرض التصحيحات. مراقبة السجلات بحثًا عن حالات فشل معالجة الصور، والإبلاغ عن حالات العدوى المحتملة.

تسلط الحملة الضوء على أهمية التصحيحات السريعة في أنظمة Android. ومع وجود أكثر من 3 مليارات مستخدم على مستوى العالم، تؤثر التأخيرات على نطاقات هائلة من التعرض.