Samsung исправляет ошибку нулевого щелчка, которая позволяла шпионскому ПО LANDFALL через WhatsApp совершать атаки на Ближнем Востоке

Исследователи безопасности обнаружили шпионскую кампанию, в которой использовалась уязвимость нулевого дня в устройствах Samsung Galaxy для установки шпионского ПО LANDFALL. Атаки произошли в основном в Ираке, Иране, Турции и Марокко с использованием изображений в формате DNG, отправленных через WhatsApp. Уязвимость, обозначенная как CVE-2025-21042, позволяла удаленно выполнять код без взаимодействия с пользователем и была исправлена компанией Samsung в апреле 2025 года.

Кампания, отслеживаемая как CL-UNK-1054, началась в июле 2024 года и продолжалась несколько месяцев до исправления. Образцы вредоносного ПО были отправлены в VirusTotal пользователями из этих регионов с указанием конкретных целей. Агентство кибербезопасности и инфраструктуры США добавило эту уязвимость в свой каталог эксплуатируемых недостатков в ноябре 2025 года, требуя исправления во всех федеральных агентствах к декабрю.

Siga o Mix Vale no Google e veja nossas notícias primeiro

Механизм использования изображений DNG

Вредоносные файлы имитировали обычные фотографии WhatsApp с именами типа «IMG-20240723-WA0000.jpg». Эти DNG содержали встроенный в конце ZIP-файл, использующий запись за пределами допустимого диапазона в библиотеку libimagecodec.quram.so.

Процесс начался с автоматической обработки изображений и извлечения общих библиотек для запуска шпионского ПО. Другая библиотека манипулировала политикой SELinux, повышая привилегии и обеспечивая постоянство в системе.

Благодаря подходу «нулевой клик» необходимость в кликах исключена, что делает атаку в большинстве случаев незаметной. Затронутые устройства включали модели Galaxy S22, S23, S24, Z Fold4 и Z Flip4 под управлением Android 13–16.

Возможности шпионского ПО LANDFALL

LANDFALL тщательно собрал данные, получив доступ к множеству источников на взломанном устройстве. Среди функций выделились следующие:

• Запись звука через микрофон в реальном времени.
• Точное отслеживание географического местоположения.
• Извлечение фотографий, контактов и истории звонков.
• Чтение SMS и сохраненных файлов.

После установки вредоносная программа подключилась к серверу управления и контроля по протоколу HTTPS. Это соединение позволило использовать петли маяка и загружать дополнительные полезные данные, расширяя его возможности.

Модульная архитектура облегчает удаленное обновление, адаптируя шпионское ПО к новым средствам защиты. Исследователи отметили, что первоначальный компонент называл себя «Bridge Head» — общепринятый термин в загрузчиках инструментов частных компаний, занимающихся кибератаками.

Шаблоны, похожие на известные операции

Инфраструктура управления LANDFALL пересекалась с группой Stealth Falcon, также называемой FruityArmor. Этот актер, связанный со шпионажем на Ближнем Востоке с 2012 года, использует аналогичную тактику в кампаниях против террористических атак.ИВисты и журналисты.

Регистрация доменов и стандарты C2 частично совпали, но без прямых доказательств до октября 2025 года. Сходство предполагает возможное использование коммерческих инструментов государственными или частными субъектами.

Кампания не была обнаружена в течение нескольких месяцев, а общедоступные образцы на VirusTotal появились с июля 2024 года. Это обнажает сложность выявления эксплойтов в открытых репозиториях.

Повторяющиеся уязвимости в библиотеках изображений

Недостатки в процессорах изображений DNG становятся постоянным вектором мобильных атак. В сентябре 2025 года компания Samsung исправила CVE-2025-21043 в той же библиотеке, которая использовалась в реальных условиях, но без прямой связи с LANDFALL.

За аналогичный период WhatsApp сообщил о цепочке уязвимостей в iOS и macOS, затронувших менее 200 пользователей. Эти случаи указывают на волну эксплойтов с нулевым кликом в приложениях для обмена сообщениями.

Эта тенденция отражает стремление злоумышленников использовать общие библиотеки, такие как libimagecodec.quram.so, для удаленного выполнения. Регулярные обновления снижают риски, но задержки с патчами продлевают риски.

Меры защиты пользователей

Владельцам Galaxy следует ежемесячно проверять наличие обновлений безопасности. Патч от апреля 2025 года устранил CVE-2025-21042, но устаревшие устройства остаются уязвимыми.

Отключите автоматическую загрузку мультимедиа в WhatsApp, чтобы снизить риски. Такие инструменты, как Google Play Protect, регулярно сканируют приложения и файлы.нет.

Компании, имеющие парки устройств Samsung, могут использовать MDM для установки исправлений. Отслеживайте журналы на предмет сбоев обработки изображений, отмечая потенциальные заражения.

Кампания подчеркивает важность быстрого внесения исправлений в экосистему Android. Учитывая более чем 3 миллиарда пользователей по всему миру, задержки влияют на огромные масштабы воздействия.