На смартфоны Samsung атакой через мессенджеры хакеры устанавливали шпион Landfall без участия пользователя

Специалисты исследовательского подразделения Unit 42 при компании Palo Alto Networks зафиксировали новую кампанию кибершпионажа с применением вредоносного инструмента Landfall, нацеленную на смартфоны под управлением Android. Объектом атаки стали устройства Samsung Galaxy, в которых использовалась уязвимость нулевого дня. Первая активность зафиксирована в июле 2024 года.

Landfall распространялся через изображения, передаваемые жертвам в мессенджерах. Чтобы заразить устройство, не требовалось ни открытия файла, ни каких-либо действий со стороны владельца. Достаточно было доставки изображения на устройство. Уязвимость, позволявшая выполнить такой сценарий, получила номер CVE‑2025‑21042. Представители Samsung заявили, что патч уже выпущен, однако подробности кампании пока не раскрываются.

Авторы Landfall не установлены, масштаб атаки также остаётся неясным. По оценкам исследователей, основная активность зафиксирована в государствах Ближнего Востока, что указывает на возможную разведывательную направленность кампании. Загруженные на VirusTotal образцы поступали в течение 2024 и начала 2025 года из Ирака, Турции, Ирана и Марокко.

Эксперты обратили внимание на то, что часть серверов, связанных с Landfall, перекликается с инфраструктурой Stealth Falcon — известного шпионского инструмента, ранее применявшегося для наблюдения за политически активными пользователями в Объединённых Арабских Эмиратах. Несмотря на сходства, прямых доказательств связи между проектами пока не представлено.

Анализ вредоносного кода показал, что Landfall способен получать доступ к широкому спектру личных данных. Среди функций — сбор фотографий, сообщений, списка контактов и истории вызовов, отслеживание местоположения в реальном времени, а также активация микрофона. Кроме того, в программном коде были найдены ссылки на модели смартфонов Samsung, в том числе Galaxy S22, S23, S24 и несколько устройств из линейки Galaxy Z.