三星修复了零点击漏洞，该漏洞允许间谍软件通过 WhatsApp 在中东发动攻击

安全研究人员发现了一项间谍活动，该活动利用 Samsung Galaxy 设备中的零日漏洞安装 LANDFALL 间谍软件。这些攻击主要发生在伊拉克、伊朗、土耳其和摩洛哥，使用通过 WhatsApp 发送的 DNG 格式的图像。该漏洞被识别为 CVE-2025-21042，允许在没有用户交互的情况下远程执行代码，并于 2025 年 4 月被三星修复。

该活动编号为 CL-UNK-1054，于 2024 年 7 月开始，并在修复前持续了数月。这些地区的用户将恶意软件样本发送到 VirusTotal，表明了特定目标。美国网络安全和基础设施局于 2025 年 11 月将该漏洞添加到其利用缺陷目录中，要求联邦机构在 12 月之前进行修复。

Siga o Mix Vale no Google e veja nossas notícias primeiro

DNG 图像中的利用机制

恶意文件模拟常见的 WhatsApp 照片，名称如“IMG-20240723-WA0000.jpg”。这些 DNG 包含嵌入在末尾的 ZIP，利用对 libimagecodec.quram.so 库的越界写入。

该过程从自动图像处理开始，提取共享库来执行间谍软件。另一个库操纵了 SELinux 策略，提升了权限并确保系统上的持久性。

零点击方法消除了点击的需要，使得攻击在大多数情况下无法检测到。受影响的设备包括运行 Android 13 至 16 的 Galaxy S22、S23、S24、Z Fold4 和 Z Flip4 型号。

LANDFALL 间谍软件功能

LANDFALL 全面收集数据，访问受感染设备上的多个来源。在这些功能中，以下功能最为突出：

• 通过麦克风实时录音。
• 精确的地理位置跟踪。
• 提取照片、联系人和通话记录。
• 读取短信和存储的文件。

安装后，恶意软件通过 HTTPS 连接到命令和控制服务器。此连接允许信标循环和额外有效负载的下载，从而扩展其操作。

模块化架构促进了远程更新，使间谍软件适应新兴的防御。研究人员指出，最初的组件将自己称为“Bridge Head”，这是私人网络攻击公司工具加载器中的常用术语。

与已知操作类似的模式

LANDFALL 的控制基础设施与 Stealth Falcon 小组（也称为 FruityArmor）有重叠。该演员自 2012 年以来与中东间谍活动有联系，在打击恐怖袭击的活动中使用了类似的策略。ivists 和记者。

域名注册和 C2 标准部分一致，但直到 2025 年 10 月才有直接证据。这种相似性表明国家或私人参与者可能使用商业工具。

自 2024 年 7 月以来，该活动在 VirusTotal 上公开样本，数月以来一直没有被发现。这暴露了在开放存储库中识别漏洞的难度。

图像库中反复出现的漏洞

DNG 图像处理器中的缺陷成为移动攻击中反复出现的载体。 2025 年 9 月，三星在同一库中修补了 CVE-2025-21043，并在野外被利用，但没有直接链接到 LANDFALL。

WhatsApp 在同一时期报告了 iOS 和 macOS 中的一系列漏洞，影响了不到 200 名用户。这些案例表明消息应用程序中存在一波零点击漏洞利用浪潮。

这一趋势反映出攻击者将重点放在共享库上，例如libimagecodec.quram.so，以实现远程执行。定期更新可以降低风险，但补丁延迟会延长暴露时间。

用户保护措施

Galaxy 用户应每月检查安全更新。 2025 年 4 月的补丁消除了 CVE-2025-21042，但过时的设备仍然容易受到攻击。

禁用 WhatsApp 上的自动媒体下载以降低风险。 Google Play Protect 等工具会定期扫描应用程序和文件恩特。

拥有大量三星设备的公司可以使用 MDM 强制安装补丁。监视图像处理失败的日志，标记潜在的感染。

该活动强调了 Android 生态系统中快速补丁的重要性。全球用户超过 30 亿，延迟会影响大规模的曝光。