“登陸”商業間諜軟件已在三星手機上傳播約一年

在 2025 年 4 月補丁發布之前，三星手機的圖像處理庫存在漏洞。這是一種無點擊攻擊，因為用戶不需要運行任何內容。當系統處理要顯示的惡意圖像時，它會從 ZIP 文件中提取共享對像庫文件以運行 Landfall 間諜軟件。該有效負載還會修改設備的 SELinux 策略，以授予 Landfall 擴展權限和數據訪問權限。

受感染的文件似乎是通過 WhatsApp 等消息傳遞應用程序傳送到目標的。 Unit 42 報導稱，Landfall 代碼涉及幾款特定的三星手機，包括 Galaxy S22、Galaxy S23、Galaxy S24、Galaxy Z Flip 4 和 Galaxy Z Fold 4。激活後，Landfall 會訪問包含基本設備信息的遠程服務器。然後，操作員可以提取大量數據，例如用戶和設備 ID、已安裝的應用程序、聯繫人、設備上存儲的任何文件以及瀏覽歷史記錄。它還可以激活攝像頭和麥克風來監視用戶。

刪除間諜軟件也並不容易。由於它能夠操縱 SELinux 策略，因此它可以深入到系統軟件。它還包括一些有助於避免檢測的工具。根據 VirusTotal 提供的信息，Unit 42 認為 Landfall 在 2024 年和 2025 年初在伊拉克、伊朗、土耳其和摩洛哥很活躍。該公司表示，該漏洞可能存在於從 Android 13 到 Android 15 的三星軟件中。

Unit 42 表示，許多命名方案和服務器響應與 NSO Group 和 Variston 等主要網絡情報公司開發的工業間諜軟件有相似之處。然而，他們不能直接將登陸與任何特定群體聯繫起來。儘管這次攻擊針對性很強，但細節現已曝光，其他威脅行為者現在可以使用類似的方法來訪問未修補的設備。任何擁有受支持的三星手機的人都應確保它安裝了 2025 年 4 月補丁或更高版本。