Samsung behebt den Zero-Click-Fehler, der LANDFALL-Spyware über WhatsApp bei Angriffen im Nahen Osten ermöglichte

Sicherheitsforscher haben eine Spionagekampagne entdeckt, die eine Zero-Day-Schwachstelle in Samsung Galaxy-Geräten ausnutzte, um LANDFALL-Spyware zu installieren. Die Angriffe ereigneten sich hauptsächlich im Irak, im Iran, in der Türkei und in Marokko, wobei Bilder im DNG-Format verwendet wurden, die über WhatsApp gesendet wurden. Der als CVE-2025-21042 identifizierte Fehler ermöglichte die Remote-Codeausführung ohne Benutzerinteraktion und wurde im April 2025 von Samsung behoben.

Die Kampagne, die als CL-UNK-1054 verfolgt wird, begann im Juli 2024 und dauerte Monate bis zur Fehlerbehebung. Proben der Malware wurden von Benutzern in diesen Regionen an VirusTotal gesendet, was auf bestimmte Ziele hinweist. Die US-amerikanische Cybersecurity and Infrastructure Agency hat die Schwachstelle im November 2025 in ihren Katalog ausgenutzter Schwachstellen aufgenommen und erfordert eine Behebung durch alle Bundesbehörden bis Dezember.

Siga o Mix Vale no Google e veja nossas notícias primeiro

Exploit-Mechanismus in DNG-Bildern

Die schädlichen Dateien simulierten gängige WhatsApp-Fotos mit Namen wie „IMG-20240723-WA0000.jpg“. Diese DNGs enthielten am Ende eine eingebettete ZIP-Datei, die einen außerhalb der Grenzen liegenden Schreibvorgang in die Bibliothek libimagecodec.quram.so ausnutzte.

Der Prozess begann mit der automatischen Bildverarbeitung, bei der gemeinsam genutzte Bibliotheken extrahiert wurden, um die Spyware auszuführen. Eine andere Bibliothek manipulierte die SELinux-Richtlinie, erhöhte die Berechtigungen und stellte die Persistenz auf dem System sicher.

Der Zero-Click-Ansatz machte Klicks überflüssig und machte den Angriff in den meisten Fällen unentdeckbar. Zu den betroffenen Geräten gehörten die Modelle Galaxy S22, S23, S24, Z Fold4 und Z Flip4 mit Android 13 bis 16.

LANDFALL-Spyware-Funktionen

LANDFALL sammelte umfassend Daten und griff dabei auf mehrere Quellen auf dem kompromittierten Gerät zu. Unter den Funktionen stachen folgende hervor:

• Audioaufnahme über Mikrofon in Echtzeit.
• Präzise geografische Standortverfolgung.
• Extrahierung von Fotos, Kontakten und Anrufverlauf.
• SMS und gespeicherte Dateien lesen.

Nach der Installation stellte die Malware über HTTPS eine Verbindung zu einem Befehls- und Kontrollserver her. Diese Verbindung ermöglichte Beaconing-Schleifen und den Download zusätzlicher Nutzlasten und erweiterte so den Betrieb.

Die modulare Architektur ermöglichte Remote-Updates und passte die Spyware an neue Abwehrmechanismen an. Die Forscher stellten fest, dass die ursprüngliche Komponente sich selbst als „Bridge Head“ bezeichnete, ein gebräuchlicher Begriff in Toolloadern privater Cyberangriffsunternehmen.

Muster ähnlich bekannten Vorgängen

Die Kontrollinfrastruktur von LANFALL hatte Überschneidungen mit der Stealth Falcon-Gruppe, auch FruityArmor genannt. Dieser Akteur, der seit 2012 mit Spionage im Nahen Osten in Verbindung steht, wendet ähnliche Taktiken bei Kampagnen gegen Terroranschläge an.Aktivisten und Journalisten.

Domain-Registrierungen und C2-Standards stimmten teilweise überein, allerdings ohne direkte Beweise bis Oktober 2025. Die Ähnlichkeit lässt auf einen möglichen Einsatz kommerzieller Tools durch staatliche oder private Akteure schließen.

Die Kampagne konnte monatelang nicht entdeckt werden, mit öffentlichen Proben auf VirusTotal seit Juli 2024. Dies verdeutlicht die Schwierigkeit, Exploits in offenen Repositories zu identifizieren.

Wiederkehrende Schwachstellen in Bildbibliotheken

Fehler in DNG-Bildprozessoren sind ein wiederkehrender Grund für mobile Angriffe. Im September 2025 hat Samsung CVE-2025-21043 in derselben Bibliothek gepatcht, in freier Wildbahn ausgenutzt, jedoch ohne direkte Verbindung zu LANDFALL.

WhatsApp meldete in einem ähnlichen Zeitraum eine Reihe von Sicherheitslücken in iOS und macOS, von denen weniger als 200 Benutzer betroffen waren. Diese Fälle deuten auf eine Welle von Zero-Click-Exploits in Messaging-Apps hin.

Der Trend spiegelt den Fokus der Angreifer auf gemeinsam genutzte Bibliotheken wie libimagecodec.quram.so wider, um eine Remote-Ausführung zu erreichen. Regelmäßige Updates mindern Risiken, aber Patch-Verzögerungen verlängern die Gefährdung.

Schutzmaßnahmen für Benutzer

Galaxy-Besitzer sollten monatlich nach Sicherheitsupdates suchen. Mit dem Patch vom April 2025 wurde CVE-2025-21042 entfernt, veraltete Geräte bleiben jedoch anfällig.

Deaktivieren Sie automatische Mediendownloads auf WhatsApp, um Risiken zu reduzieren. Tools wie Google Play Protect scannen regelmäßig Apps und Dateiennte.

Unternehmen mit Flotten von Samsung-Geräten können MDM verwenden, um Patches zu erzwingen. Überwachen Sie Protokolle auf Bildverarbeitungsfehler und kennzeichnen Sie mögliche Infektionen.

Die Kampagne unterstreicht die Bedeutung schneller Patches in Android-Ökosystemen. Bei über 3 Milliarden Nutzern weltweit wirken sich Verzögerungen auf ein enormes Risiko aus.