黑客劫持三星 Galaxy 手机

网络安全公司 Unit 42 发现针对三星 Galaxy 设备的间谍软件活动，利用零日漏洞通过 WhatsApp 发送的图片渗透手机。 

安全研究人员警告称，该行动自 2024 年中以来一直活跃，它帮助攻击者部署先进的 Android 恶意软件，能够在无需用户交互的情况下对设备进行完全监控。

网络安全研究人员将该行动命名为 LANDFALL，于 2025 年中开始调查 iOS 利用样本后，于 9 月被发现。 

LANDFALL 恶意软件攻击 Android 三星设备

根据 Unit 42 的调查报告 发布 11 月 7 日，特定于 Android 的恶意软件存在于隐藏在数字负片 (DNG) 图像文件中的 iOS 样本中。 

一些三星 Galaxy 手机用户报告称看到了类似 WhatsApp 的名称，如“IMG-20240723-WA0000.jpg”，这些文件于 2024 年 7 月至 2025 年初从摩洛哥、伊朗、伊拉克和土耳其等地上传至 VirusTotal。

LANDFALL 使用一种称为“CVE-2025-21042”的利用类型，这是三星图像处理库中的一个缺陷 libimagecodec.quram.so。CVE-2025-12725 也是 WebGPU 中的越界写入错误，WebGPU 是 Google 制作的浏览器 Chrome 的图形处理组件。 

该漏洞 在 2025 年 4 月 在报告活跃利用后进行了修补，但在此之前，它已在多个设备上使包含附加 ZIP 存档的畸形 DNG 文件生效。Unit 42 解释说，它诱骗易受攻击的库提取并执行共享对象 (.so) 库，这些库安装了 间谍软件 在设备上。 

Unit 42的报告称，该间谍软件会激活麦克风进行录音，通过GPS追踪用户，并悄悄窃取照片、联系人、通话记录和消息等信息。受影响的三星Galaxy机型包括S22、S23、S24和Z系列，特别是运行Android 13、14和15版本的设备。 

该零日漏洞还影响 Apple iOS上的DNG图像解析，WhatsApp开发人员发现攻击者利用此Apple漏洞与该缺陷相结合，迫使设备处理来自恶意URL的内容。

LANDFALL的第二部分名为b.so，通过非标准的临时TCP端口使用HTTPS连接到其命令与控制（C2）服务器。恶意软件可以发送ping信号以检查服务器是否在线，然后再开始加密通信。报告的技术附录对此进行了详细解释。

一旦HTTPS连接建立，b.so就会发送一个包含受感染设备和间谍软件实例详细信息的POST请求，包括代理ID、设备路径和用户ID。

9月，WhatsApp向三星报告了相关漏洞（CVE-2025-21043）。这家消息公司建议用户，恶意消息可能会 漏洞利用 操作系统中的缺陷，从而危及设备和其中包含的数据。 

“我们的调查表明，您可能通过WhatsApp收到了一条恶意消息，该消息与设备操作系统中的其他漏洞相结合，”Meta在安全更新中表示。“虽然我们不确定您的设备是否已被入侵，但出于谨慎起见，我们想让您知道。”

上周，新闻出版物The Peninsula报道，该活动可追溯至中东地区与国家支持的移动设备间谍软件有关。NSO Group的Pegasus、Cytox/Intellexa的Predator以及Gamma的FinFisher FinSpy长期以来都与类似的攻击有关。 

Google提供更新以应对零日安全漏洞

根据Google之前的报告，这些行为者在2014年至2023年间对其产品中近一半的零日漏洞负有责任。上个月，美国联邦法院禁止以色列NSO Group逆向工程WhatsApp以投放间谍软件。

“WhatsApp等公司‘出售’的一部分是信息隐私，任何未经授权的访问都是对该销售的干扰，”美国地区法官Phyllis Hamilton在裁决中表示。

科技巨头上周发布了Chrome 142版本，以应对五个关键安全漏洞，其中三个被其评为“高风险”。该更新已通过Google Play在桌面平台和Android设备上发布补丁。

CVE-2025-12727影响Chrome的JavaScript引擎V8，该引擎负责性能执行，而CVE-2025-12726影响浏览器的用户界面管理器Chrome Views。 

网络安全专家现在要求三星Galaxy用户立即应用2025年4月的安全更新，以修补CVE-2025-21042。