Samsung、中東での攻撃でWhatsApp経由でLANDFALLスパイウェアを許可したゼロクリックの欠陥を修正

セキュリティ研究者は、Samsung Galaxy デバイスのゼロデイ脆弱性を悪用して LANDFALL スパイウェアをインストールするスパイ活動を発見しました。攻撃は主にイラク、イラン、トゥルキエ、モロッコで発生し、WhatsApp経由で送信されたDNG形式の画像が使用された。この欠陥は CVE-2025-21042 として特定され、ユーザーの介入なしでリモートでコードが実行される可能性があり、2025 年 4 月に Samsung によって修正されました。

このキャンペーンは CL-UNK-1054 として追跡され、2024 年 7 月に始まり、修正が行われるまで数か月間継続されました。これらの地域のユーザーからマルウェアのサンプルが VirusTotal に送信され、特定のターゲットが示されました。米国サイバーセキュリティ・インフラストラクチャー庁は、2025 年 11 月にこの脆弱性を悪用された欠陥のカタログに追加し、12 月までに連邦政府機関全体で修復することを義務付けました。

Siga o Mix Vale no Google e veja nossas notícias primeiro

DNG 画像のエクスプロイトメカニズム

悪意のあるファイルは、「IMG-20240723-WA0000.jpg」のような名前で、一般的な WhatsApp 写真をシミュレートしました。これらの DNG には、最後に ZIP が埋め込まれており、libimagecodec.quram.so ライブラリへの範囲外の書き込みが悪用されていました。

プロセスは自動画像処理から始まり、共有ライブラリを抽出してスパイウェアを実行します。別のライブラリが SELinux ポリシーを操作して、権限を昇格し、システム上の永続性を確保しました。

ゼロクリックのアプローチにより、クリックの必要がなくなり、ほとんどの場合、攻撃は検出できなくなります。影響を受けるデバイスには、Android 13 ～ 16 を実行する Galaxy S22、S23、S24、Z Fold4、Z Flip4 モデルが含まれます。

LANDFALL スパイウェアの機能

LANDFALL は、侵害されたデバイス上の複数のソースにアクセスして、データを包括的に収集しました。機能の中で特に目立ったのは次のとおりです。

• マイクを介したリアルタイムの音声録音
• 正確な地理的位置の追跡。
• 写真、連絡先、通話履歴の抽出
• SMS と保存されたファイルの読み取り

インストール後、マルウェアは HTTPS 経由でコマンド アンド コントロール サーバーに接続しました。この接続により、ビーコン ループと追加のペイロードのダウンロードが可能になり、運用が拡張されました。

モジュラー アーキテクチャによりリモート アップデートが容易になり、スパイウェアを新たな防御に適応させることができました。研究者らは、最初のコンポーネントがそれ自体を「ブリッジ ヘッド」と呼んでいることに注目しました。これは、民間のサイバー攻撃会社のツール ローダーでよく使われる用語です。

既知の操作に類似したパターン

LANDFALL の制御インフラストラクチャは、FruityArmor とも呼ばれる Stealth Falcon グループと重複していました。この人物は 2012 年以来中東でのスパイ活動に関与しており、テロ攻撃に対するキャンペーンでも同様の戦術を使用しています。イビストとジャーナリスト。

ドメイン登録と C2 標準は部分的に一致していましたが、2025 年 10 月まで直接的な証拠はありませんでした。この類似性は、国または民間の主体による商用ツールの使用の可能性を示唆しています。

このキャンペーンは、2024 年 7 月以降 VirusTotal で公開サンプルを使用することで、数か月間検出を回避していました。これにより、オープン リポジトリ内のエクスプロイトを特定することが困難であることが明らかになりました。

画像ライブラリに再発する脆弱性

DNG 画像プロセッサの欠陥は、モバイル攻撃の繰り返しのベクトルとして現れます。 2025 年 9 月に、Samsung は同じライブラリ内の CVE-2025-21043 にパッチを適用しました。これは実際に悪用されましたが、LANDFALL への直接リンクはありませんでした。

WhatsApp も同様の期間に、iOS と macOS で一連の脆弱性を報告し、影響を受けたユーザーは 200 人未満でした。これらのケースは、メッセージング アプリにおけるゼロクリック悪用の波が起こっていることを示しています。

この傾向は、攻撃者がリモート実行を実現するために libimagecodec.quram.so などの共有ライブラリに注目していることを反映しています。定期的なアップデートによりリスクは軽減されますが、パッチが遅れると危険にさらされる期間が長くなります。

ユーザーの保護措置

Galaxy の所有者は、セキュリティ アップデートを毎月確認する必要があります。 2025 年 4 月のパッチにより CVE-2025-21042 は排除されましたが、古いデバイスは依然として脆弱です。

リスクを軽減するために、WhatsApp でのメディアの自動ダウンロードを無効にします。 Google Play プロテクトなどのツールはアプリとファイルを定期的にスキャンしますンテ。

Samsung デバイスを多数保有している企業は、MDM を使用してパッチを強制的に適用できます。画像処理エラーのログを監視し、感染の可能性をフラグします。

このキャンペーンは、Android エコシステムにおける迅速なパッチの重要性を強調しています。世界中に 30 億人を超えるユーザーがおり、遅延は大規模な被害に影響を与えます。