Коммерческое шпионское ПО Landfall свирепствовало на телефонах Samsung почти год

До апрельского патча 2025 года телефоны Samsung имели уязвимость в библиотеке обработки изображений. Это атака с нулевым щелчком мыши, поскольку пользователю не нужно ничего запускать. Когда система обрабатывает вредоносное изображение для отображения, она извлекает файлы библиотеки общих объектов из ZIP-архива для запуска шпионского ПО Landfall. Полезная нагрузка также изменяет политику SELinux устройства, чтобы предоставить Landfall расширенные разрешения и доступ к данным.

Зараженные файлы, судя по всему, были доставлены жертвам через приложения для обмена сообщениями, такие как WhatsApp. Unit 42 отмечает, что код Landfall ссылается на несколько конкретных телефонов Samsung, включая Galaxy S22, Galaxy S23, Galaxy S24, Galaxy Z Flip 4 и Galaxy Z Fold 4. После активации Landfall обращается к удаленному серверу с основной информацией об устройстве. Затем операторы могут извлечь множество данных, таких как идентификаторы пользователей и оборудования, установленные приложения, контакты, любые файлы, хранящиеся на устройстве, а также историю просмотров. Он также может активировать камеру и микрофон, чтобы шпионить за пользователем.

Удаление шпионского ПО также является непростой задачей. Благодаря своей способности манипулировать политиками SELinux, он может глубоко проникать в системное программное обеспечение. Он также включает в себя несколько инструментов, которые помогают избежать обнаружения. Основываясь на материалах VirusTotal, Unit 42 полагает, что Landfall действовал в 2024 и начале 2025 года в Ираке, Иране, Турции и Марокко. Компания предполагает, что уязвимость могла присутствовать в программном обеспечении Samsung с Android 13 по Android 15.

В Unit 42 говорят, что некоторые схемы именования и ответы серверов имеют сходство с промышленными шпионскими программами, разработанными крупными фирмами киберразведки, такими как NSO Group и Variston. Однако они не могут напрямую привязать Landfall к какой-либо конкретной группе. Хотя эта атака была узконаправленной, ее подробности теперь известны, и другие злоумышленники теперь могут использовать аналогичные методы для доступа к неисправленным устройствам. Любой, у кого есть поддерживаемый телефон Samsung, должен убедиться, что на нем установлено обновление от апреля 2025 года или более поздней версии.