Încă o zi, un alt atac malware asupra smartphone-urilor. Cercetătorii de la Unit 42, divizia de informații despre amenințări a Palo Alto Networks, au dezvăluit un spyware sofisticat, cunoscut sub numele de „Landfall”, care vizează telefoanele Samsung Galaxy. Cercetătorii spun că această campanie a folosit o vulnerabilitate zero-day în software-ul Android de la Samsung pentru a fura o serie de date personale și a fost activă timp de aproape un an. Din fericire, vulnerabilitatea subiacentă a fost acum corectată, iar atacurile au fost cel mai probabil direcționate către grupuri specifice.
Unit 42 spune că Landfall a apărut pentru prima dată în iulie 2024, bazându-se pe o eroare software catalogată acum drept CVE-2025-21042. Samsung a lansat un patch pentru telefoanele sale în aprilie 2025, dar detaliile atacului au fost dezvăluite abia acum.
Chiar dacă ai fi explorat colțurile mai întunecate ale internetului în 2024 și începutul anului 2025 cu un dispozitiv Samsung Galaxy, este puțin probabil să fii infectat. Echipa crede că Landfall a fost folosit în Orientul Mijlociu pentru a viza persoane în scopul supravegherii. În prezent, nu este clar cine se află în spatele atacurilor.
Landfall este deosebit de viclean deoarece este ceea ce se numește un atac zero-click, care poate compromite un sistem fără implicarea directă a utilizatorului. Unitatea 42 a identificat Landfall doar din cauza a două erori similare care au fost remediate în Apple iOS și WhatsApp. Combinate, aceste două exploit-uri ar permite executarea de cod la distanță, așa că echipa a căutat exploit-uri care ar putea face acest lucru. Au găsit mai multe fișiere de imagine rău intenționate încărcate pe VirusTotal care au dezvăluit atacul Landfall.
Un fișier imagine tradițional este neexecutabil, dar anumite fișiere imagine pot fi malformate într-un mod care conține cod malițios. În cazul Landfall, atacatorii au folosit fișiere DNG modificate, un tip de fișier brut bazat pe formatul TIFF. În aceste fișiere DNG, actorii necunoscuți aveau arhive ZIP încorporate cu sarcini utile malițioase.
Înainte de patch-ul din aprilie 2025, telefoanele Samsung aveau o vulnerabilitate în biblioteca lor de procesare a imaginilor. Acesta este un atac zero-click, deoarece utilizatorul nu trebuie să lanseze nimic. Când sistemul procesează imaginea rău intenționată pentru afișare, extrage fișierele bibliotecii de obiecte partajate din fișierul ZIP pentru a rula spyware-ul Landfall. De asemenea, sarcina utilă modifică politica SELinux a dispozitivului pentru a oferi programului Landfall permisiuni extinse și acces la date.
Fișierele infectate par să fi fost livrate către ținte prin intermediul aplicațiilor de mesagerie precum WhatsApp. Unitatea 42 notează că codul Landfall face referire la mai multe telefoane Samsung specifice, inclusiv Galaxy S22, Galaxy S23, Galaxy S24, Galaxy Z Flip 4 și Galaxy Z Fold 4. Odată activ, Landfall contactează un server la distanță cu informații de bază despre dispozitiv. Operatorii pot extrage apoi o multitudine de date, cum ar fi ID-urile utilizatorilor și hardware-ului, aplicațiile instalate, contactele, orice fișiere stocate pe dispozitiv și istoricul de navigare. De asemenea, poate activa camera și microfonul pentru a spiona utilizatorul.
Eliminarea programului spyware nu este o sarcină ușoară. Datorită capacității sale de a manipula politicile SELinux, acesta poate pătrunde adânc în software-ul sistemului. De asemenea, include mai multe instrumente care ajută la evitarea detectării. Pe baza informațiilor transmise de VirusTotal, Unit 42 consideră că Landfall a fost activ în 2024 și începutul anului 2025 în Irak, Iran, Turcia și Maroc. Compania sugerează că vulnerabilitatea ar fi putut fi prezentă în software-ul Samsung de la Android 13 până la Android 15.
Unitatea 42 afirmă că mai multe scheme de denumire și răspunsuri ale serverelor au similarități cu programele spyware industriale dezvoltate de firme mari de cibersecuritate precum NSO Group și Variston. Cu toate acestea, acestea nu pot lega direct Landfall de niciun grup anume. Deși acest atac a fost foarte bine direcționat, detaliile sunt acum publice, iar alți actori amenințători ar putea folosi metode similare pentru a accesa dispozitivele neactualizate. Oricine deține un telefon Samsung compatibil ar trebui să se asigure că utilizează patch-ul din aprilie 2025 sau o versiune ulterioară.
Comentarii
Trimiteți un comentariu