Vulnerabilidade zero-day em dispositivos explorada para distribuir spyware

Uma falha de segurança já corrigida nos dispositivos Android Samsung Galaxy foi explorada ativamente como uma vulnerabilidade zero-day para distribuir um spyware para Android de “nível comercial” denominado Landfall, em ataques direcionados no Médio Oriente.

A atividade, rastreada pela Palo Alto Networks Unit 42, envolveu a exploração da vulnerabilidade CVE-2025-21042, uma falha de “escrita fora dos limites” no componente libimagecodec[.]quram[.]so. Esta permitia a atacantes remotos a potencial execução de código arbitrário. O problema foi corrigido pela Samsung em abril de 2025.

A Unit 42 confirmou que a vulnerabilidade foi “explorada ativamente em ataques reais antes de a Samsung a corrigir em abril de 2025”. Os potenciais alvos da atividade estão localizados no Iraque, Irão, Turquia e Marrocos, com base nos dados de submissão ao Virus Total.

Acredita-se que os ataques envolveram o envio de imagens maliciosas através do WhatsApp no formato de arquivos DNG. Evidências de amostras do spyware datam de 23 de julho de 2024.

O Landfall, quando instalado e executado, atua como uma ferramenta de espionagem, com capacidade de recolher dados sensíveis, incluindo gravações de microfone, localização, fotos, contactos, SMS, arquivos e registos de chamadas.

O spyware foi concebido para atingir dispositivos das séries Galaxy S22, S23 e S24, bem como Z Fold 4 e o Z Flip 4, abrangendo alguns dispositivos principais do conglomerado sul-coreano de eletrónicos, com exceção da última geração.

Esta notícia surge depois de a Samsung ter revelado, em setembro de 2025, que outra falha na mesma biblioteca também tinha sido explorada na prática como uma vulnerabilidade zero-day. Não existem evidências de que esta falha de segurança tenha sido utilizada como arma na campanha Landfall.

Itay Cohen, senior principal researcher at Palo Alto Networks Unit 42, referiu que não se observou nenhuma alteração funcional significativa entre as amostras de julho de 2024 e fevereiro de 2025, quando o artefacto mais recente do Landfall foi carregado no Virus Total.

Embora a Unit 42 tenha levantado a hipótese de a cadeia de exploração ter usado uma abordagem de “zero cliques” para acionar a exploração da vulnerabilidade CVE-2025-21042, atualmente não há indícios de que isso tenha ocorrido ou de que exista uma falha de segurança desconhecida no WhatsApp que sustente essa teoria.