Эксперты Palo Alto Networks обнаружили ранее неизвестную шпионскую программу LandFall, которая эксплуатировала 0-day-уязвимость в устройствах Samsung. Атаки осуществлялись как минимум с июля 2024 года, а малварь распространялась через вредоносные изображения в мессенджере WhatsApp.
По данным специалистов, вредоносная активность была направлена на отдельных пользователей устройств Samsung Galaxy на Ближнем Востоке. В своих атаках хакеры использовали критическую уязвимость CVE-2025-21042 (8,8 балла по шкале CVSS) в библиотеке обработки изображений libimagecodec.quram.so. Этот баг позволял выполнить произвольный код на целевом девайсе через out-of-bounds запись. Samsung устранила эту проблему только в апреле 2025 года, и к тому моменту малварь функционировала уже около девяти месяцев.
Атака начиналась с отправки через WhatsApp специально подготовленного изображения в формате .DNG. Внутри картинки скрывался архив ZIP с вредоносными компонентами. Когда жертва получала такой файл, эксплоит автоматически срабатывал при обработке изображения системой.
Образцы вредоносных файлов, используемых LandFall, начали появляться на VirusTotal с 23 июля 2024 года, и во всех случаях они были связаны с WhatsApp, который являлся каналом распространения. Данные VirusTotal указывают на то, что пострадавшие находились в Ираке, Иране, Турции и Марокко.
Сама спайварь LandFall состоит из двух ключевых модулей: загрузчика (b.so), который может скачивать и запускать дополнительные компоненты, и компонент изменения политик SELinux (l.so), который изменяет настройки безопасности для повышения привилегий и закрепления в системе.
LandFall собирает полный цифровой отпечаток устройства: IMEI, IMSI, номер SIM-карты, данные аккаунта, информацию о Bluetooth, геолокацию и список установленных приложений. Также шпионское ПО способно:
- записывать звук с микрофона устройства и телефонные разговоры;
- отслеживать местоположение жертвы в реальном времени;
- похищать фото, контакты, SMS и журналы звонков;
- получать доступ к файлам и истории браузера;
- загружать и выполнять дополнительные модули;
- скрываться от обнаружения и обходить защиту.
Исследователи пишут, что жертвами этих атак стали владельцы Samsung Galaxy серии S22, S23, S24, а также складных моделей Z Fold 4 и Z Flip 4. Новейшие устройства линейки S25 не пострадали.
Эксперты идентифицировали шесть управляющих серверов, связанных с этой кампанией. Некоторые из них турецкий CERT уже отметил как вредоносные.
Исследователи считают, что LandFall — коммерческий фреймворк для целевой слежки, но точную атрибуцию шпионского ПО пока установить не удалось. Однако отмечается, что инфраструктура управляющих серверов похожа на ту, что использовала хак-группа Stealth Falcon из ОАЭ. Кроме того, название компонента загрузчика (Bridge Head) соответствует характерным шаблонам именования компонентов, которые обычно наблюдаются у разработчиков шпионского ПО из компаний NSO Group, Variston, Cytrox и Quadream.
Отметим, что LandFall — не единственная спайварь, которая эксплуатирует изображения DNG-формата в своих атаках. Ранее подобные цепочки атак уже использовались против пользователей iOS (CVE-2025-43300) и WhatsApp (CVE-2025-55177).
