Исследователи Unit 42 из Palo Alto Networks обнаружили ранее неизвестное коммерческое шпионское ПО для Android, получившее название LANDFALL. Эта вредоносная программа использовала цепочку эксплойтов, нацеленную на устройства Samsung Galaxy, и эксплуатировала уязвимость нулевого дня в библиотеке обработки изображений компании. Кампания действовала в течение нескольких месяцев до того, как уязвимость была устранена.
Описание
Атака начиналась с отправки целевым пользователям специально сформированного изображения в формате DNG через мессенджер WhatsApp. Файл содержал скрытый ZIP-архив со шпионским ПО. При обработке изображения на устройстве Samsung активировалась уязвимость CVE-2025-21042 в библиотеке libimagecodec.quram.so. В результате эксплойт извлекал и запускал вредоносные компоненты прямо из архива.
LANDFALL представляет собой модульное шпионское ПО, специально разработанное для устройств Samsung. Оно состоит как минимум из двух ключевых компонентов. Основной загрузчик b.so выступает в роли бэкдора, а компонент l.so манипулирует политикой безопасности SELinux для получения повышенных привилегий и обеспечения устойчивости. При этом загрузчик ссылается на себя под именем "Bridge Head", что является распространенным обозначением для начальных загрузчиков в коммерческом шпионском ПО.
Анализ возможностей шпионского ПО выявил широкий спектр функций для слежки. В частности, программа может записывать разговоры через микрофон, отслеживать местоположение, извлекать фотографии, контакты и историю вызовов. Кроме того, она способна собирать данные о подключенных сетях, установленных приложениях и статусе отладки USB.
Исследователи обнаружили шесть командных серверов, связанных с LANDFALL, которые использовали домены, маскирующиеся под легитимные сайты. Анализ данных VirusTotal указывает на потенциальных жертв в Ираке, Иране, Турции и Марокко. При этом инфраструктура и методы работы демонстрируют сходство с известными коммерческими шпионскими операциями на Ближнем Востоке.
Важно отметить, что уязвимость CVE-2025-21042 была устранена Samsung в апреле 2025 года. Позднее, в сентябре, компания исправила еще одну уязвимость нулевого дня CVE-2025-21043 в той же библиотеке обработки изображений. Таким образом, пользователи современных устройств Samsung с актуальными обновлениями безопасности защищены от этой угрозы.
Это открытие подчеркивает растущую тенденцию использования уязвимостей в обработке изображений DNG для атак на мобильные устройства. Аналогичные цепочки эксплойтов ранее наблюдались и в экосистеме Apple iOS. Обнаружение LANDFALL демонстрирует, насколько сложные угрозы могут длительное время оставаться незамеченными, подчеркивая важность своевременного обновления программного обеспечения и использования комплексных решений безопасности.
Индикаторы компрометации
