- Pesquisadores de cibersegurança descobrem ATERRISSAGEM, uma campanha sofisticada de spyware que visa dispositivos Samsung Galaxy por meio de imagens compartilhadas no WhatsApp.
- A operação explorou uma falha zero-day na biblioteca de processamento de imagens da Samsung, concedendo aos atacantes acesso total à vigilância.
- Ligada a atividades de spyware apoiadas por estados no Oriente Médio, a descoberta coincide com o Google corrigindo novas vulnerabilidades do Chrome.
A empresa de cibersegurança Unit 42 descobriu uma campanha de spyware em dispositivos Samsung Galaxy que explora uma vulnerabilidade zero-day para infiltrar-se nos telefones por meio de imagens enviadas via WhatsApp.
Pesquisadores de segurança alertam que a operação está ativa desde meados de 2024 e permite que os atacantes implantem malware avançado para Android, capaz de realizar vigilância total do dispositivo sem interação do usuário.
A operação foi batizada pelos pesquisadores de cibersegurança como LANDFALL, detectada em setembro após uma investigação que começou a analisar amostras de exploits para iOS em meados de 2025.
Malware LANDFALL atinge dispositivos Samsung Android
De acordo com o relatório investigativo da Unit 42 publicou em 7 de novembro, o malware específico para Android estava presente nas amostras de iOS ocultas em arquivos de imagem Digital Negative (DNG).
Alguns proprietários de telefones Samsung Galaxy relataram ver nomes no estilo do WhatsApp, como “IMG-20240723-WA0000.jpg”, que foram carregados no VirusTotal a partir de locais como Marrocos, Irã, Iraque e Turquia entre julho de 2024 e o início de 2025.
O LANDFALL usa um tipo de exploit chamado “CVE-2025-21042”, uma falha na biblioteca de processamento de imagens da Samsung libimagecodec.quram.so. O CVE-2025-12725 é também um erro de escrita fora dos limites no WebGPU, que é o componente de processamento gráfico do navegador Chrome, feito pela Google.
A vulnerabilidade foi corrigida em abril de 2025 após relatos de exploração ativa, mas não antes de ter corrompido arquivos DNG contendo um arquivo ZIP anexado em vários dispositivos. A Unit 42 explicou que isso engana a biblioteca vulnerável, fazendo-a extrair e executar bibliotecas de objetos compartilhados (.so) que instalam o spyware nos dispositivos.
O relatório da Unit 42 afirmou que o spyware ativa microfones para gravação, rastreia usuários via GPS e rouba sutilmente informações como fotos, contatos, registros de chamadas e mensagens. Os modelos Samsung Galaxy afetados incluem S22, S23, S24 e série Z, especificamente aqueles com versões do Android 13, 14 e 15.
A falha zero-day também está afetando a análise de imagens DNG no Apple iOS, onde os desenvolvedores do WhatsApp descobriram que os atacantes estavam encadeando a vulnerabilidade da Apple com a falha para forçar os dispositivos a processar conteúdo de URLs maliciosas.
A segunda parte do LANDFALL, chamada b.so, conecta-se ao seu servidor de comando e controle (C2) usando HTTPS sobre uma porta TCP temporária que não é padrão. O malware pode enviar sinais de ping para verificar se o servidor está ativo antes de iniciar o tráfego criptografado. Isso é explicado no apêndice técnico do relatório.
Uma vez que a conexão HTTPS está ativa, o b.so transmite uma solicitação POST contendo informações detalhadas sobre o dispositivo infectado e a instância do spyware, incluindo o ID do agente, o caminho do dispositivo e o ID do usuário.
Em setembro, o WhatsApp relatou uma vulnerabilidade relacionada (CVE-2025-21043) à Samsung. A empresa de mensagens aconselhou os usuários de que uma mensagem maliciosa poderia exploit explorar falhas no sistema operacional para comprometer os dispositivos e os dados que contêm.
“Nossa investigação indica que uma mensagem maliciosa pode ter sido enviada a você através do WhatsApp e combinada com outras vulnerabilidades no sistema operacional do seu dispositivo”, disse a Meta em um comunicado de segurança. “Embora não saibamos com certeza se o seu dispositivo foi comprometido, queremos avisá-lo por uma questão de precaução.”
Na semana passada, a publicação de notícias The Peninsula relatou que a campanha poderia ser rastreada até spyware vinculado a estados em dispositivos móveis no Oriente Médio. O Pegasus da NSO Group, o Predator da Cytox/Intellexa e o FinFisher FinSpy da Gamma têm sido historicamente associados a ataques semelhantes.
Google fornece atualizações para combater falha de segurança zero-day
De acordo com um relatório anterior da Google, esses atores foram responsáveis por quase metade de todas as vulnerabilidades zero-day em seus produtos entre 2014 e 2023. No mês passado, um tribunal federal dos EUA proibiu o grupo israelense NSO de fazer engenharia reversa do WhatsApp para entregar spyware.
“Parte do que empresas como o WhatsApp estão ‘vendendo’ é privacidade informacional, e qualquer acesso não autorizado é uma interferência com essa venda”, disse a juíza federal dos EUA Phyllis Hamilton em sua decisão.
Os gigantes da tecnologia lançaram a versão 142 do Chrome na semana passada para combater cinco vulnerabilidades de segurança críticas, das quais três foram classificadas com “alta severidade”. A atualização estava disponível para plataformas desktop e dispositivos Android por meio de patches lançados via Google Play.
O CVE-2025-12727 afeta o mecanismo JavaScript V8 do Chrome, responsável pela execução de desempenho, enquanto o CVE-2025-12726 impacta o gerenciador de interface do usuário do navegador, o Chrome Views.
Profissionais de cibersegurança estão agora solicitando que os usuários de Samsung Galaxy apliquem imediatamente a atualização de segurança de abril de 2025 para corrigir o CVE-2025-21042.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
