Коммерческое шпионское ПО «Landfall» бесчинствовало на телефонах Samsung почти год.

от

Владельцы смартфонов столкнулись с новой угрозой вредоносного ПО недавно. Специалисты по безопасности из Unit 42 (часть Palo Alto Networks) обнаружили сложное шпионское ПО под названием ‘Landfall’, которое было специально нацелено на телефоны Samsung Galaxy. В течение почти года это шпионское ПО использовало ранее неизвестную уязвимость в Android-программе Samsung для кражи личной информации. К счастью, Samsung уже исправил эту уязвимость, и атаки, по-видимому, были сосредоточены на ограниченном количестве пользователей.

🧐

Купил акции по совету друга? А друг уже продал. Здесь мы учимся думать своей головой и читать отчётность, а не слушать советы.

Прочитать отчет 10-K

По данным Unit 42, хакерская группа Landfall была впервые обнаружена в июле 2024 года, использующая уязвимость безопасности, известную как CVE-2025-21042. Хотя Samsung выпустила исправление для своих телефонов в апреле 2025 года, информация об атаке становится общедоступной только сейчас.

Было крайне маловероятно, что устройство Samsung Galaxy будет заражено этим программным обеспечением, даже если кто-то активно искал его в рискованных частях интернета в 2024 и начале 2025 года. Исследователи полагают, что программное обеспечение, названное Landfall, использовалось на Ближнем Востоке для слежки за людьми, но пока неизвестно, кто несёт ответственность за эти атаки.

Landfall – это скрытный тип атаки, поскольку она происходит без каких-либо действий со стороны пользователя – её называют атакой ‘в один клик’. Исследователи из Unit 42 обнаружили её, заметив связь между двумя уязвимостями, которые Apple и WhatsApp уже исправили. Эти уязвимости, если их объединить, могли бы позволить хакерам удаленно захватить контроль над устройством, поэтому команда активно искала атаки, которые могли бы этим воспользоваться. Их поиски привели их к нескольким вредоносным файлам изображений на VirusTotal, которые в конечном итоге раскрыли атаку Landfall.

Изображения, которые — это не просто изображения.

Обычно, файлы изображений не могут выполнять никаких действий на вашем компьютере самостоятельно. Однако, злоумышленники иногда могут создавать поврежденные файлы изображений, которые скрывают вредоносный код. В недавней атаке Landfall преступники использовали измененные DNG-файлы – тип необработанного формата изображения, аналогичный TIFF – для контрабанды вредоносного программного обеспечения. Они встраивали сжатые ZIP-файлы, содержащие вредоносный код, внутрь этих DNG-файлов.

До обновления, выпущенного в апреле 2025 года, телефоны Samsung были уязвимы к уязвимости в системе безопасности, связанной с обработкой изображений. Эта уязвимость позволяла хакерам устанавливать шпионское ПО – под названием Landfall – без каких-либо действий со стороны пользователя. Когда телефон пытался открыть специально созданное изображение, он невольно извлекал и запускал вредоносное программное обеспечение. Это программное обеспечение затем изменяло настройки безопасности телефона, чтобы получить больший доступ к личным данным.

Злонамеренные файлы, похоже, распространялись через приложения для обмена сообщениями, такие как WhatsApp. Исследователи из Unit 42 обнаружили, что программное обеспечение Landfall конкретно нацелено на несколько моделей телефонов Samsung, включая Galaxy S22, S23, S24, Z Flip 4 и Z Fold 4. После заражения устройства Landfall подключается к внешнему серверу, отправляя базовую информацию о нём. Затем злоумышленники могут украсть широкий спектр данных, включая идентификаторы пользователя и устройства, список установленных приложений, контакты, файлы и историю просмотров. Он может даже включить камеру и микрофон, чтобы тайно следить за пользователем.

Избавиться от этой шпионской программы сложно. Она может скрываться внутри основного системного программного обеспечения, изменяя настройки безопасности, и имеет функции, предназначенные для предотвращения обнаружения. Исследователи безопасности из Unit 42 отслеживали эту шпионскую программу, известную как Landfall, как активную в Ираке, Иране, Турции и Марокко в 2024 и начале 2025 года. Samsung считает, что уязвимость безопасности, позволяющая этой шпионской программе работать, могла существовать в ее программном обеспечении от Android 13 до Android 15 включительно.

По данным Unit 42, структура этой атаки и реакция серверов напоминают сложное шпионское ПО, созданное такими компаниями, как NSO Group и Variston. Однако им не удалось установить, кто стоит за ‘Landfall’. Хотя эта атака была направлена на конкретные цели, детали теперь общедоступны, что означает, что другие могут использовать эти же методы для эксплуатации уязвимых устройств. Если у вас есть совместимый телефон Samsung, крайне важно обновить его до патча безопасности за апрель 2025 года или более новой версии.

Смотрите также

2025-11-07 23:55