Pesquisadores identificaram uma cadeia de exploração que usou uma imagem DNG enviada por apps de mensagem para comprometer dispositivos Samsung Galaxy, explorando o zero‑day CVE‑2025‑21042 e instalando spyware sem interação do usuário.
Descoberta e escopo
A investigação, descrita por pesquisadores do Unit 42 e reportada pela Cyber Security News, mostra uma operação batizada de LANDFALL que esteve ativa desde meados de 2024. Amostras foram submetidas ao VirusTotal entre julho de 2024 e início de 2025 a partir de locais como Marrocos, Irã, Iraque e Turquia. A cadeia de ataque permitiu instalar um malware de categoria comercial capaz de vigilância completa de dispositivos Android.
Abordagem técnica / Vetor e exploração
O exploit tirou vantagem de uma falha crítica na biblioteca de processamento de imagens da Samsung (libimagecodec.quram.so), identificada como CVE‑2025‑21042. A técnica consistia em arquivos Digital Negative (DNG) malformados que continham um ZIP anexado; a biblioteca vulnerável era persuadida a extrair e carregar bibliotecas compartilhadas (.so) contidas nesse anexo, que então eram executadas no dispositivo.
Segundo o relatório, a sequência entregava componentes capazes de gravar microfone, obter posicionamento GPS preciso e exfiltrar fotos, contatos, registros de chamadas e mensagens. A cadeia foi descrita como de implantação "zero‑click" via apps de mensagem, sem necessidade de interação explícita do usuário.
Impacto e alcance / Quem é afetado
O conjunto de amostras indica foco em modelos Galaxy S22, S23, S24 e na linha Z, rodando Android 13 a 15. Não há, nas fontes, uma contagem pública de vítimas; o padrão da operação e o perfil das amostras sugerem ataques direcionados e de caráter espionagem, em vez de distribuição massiva.
O caso também foi relacionado em infraestrutura e padrão de operação a fornecedores privados de ferramentas ofensivas utilizados por governos (PSOAs) operando na região do Oriente Médio, mas o Unit 42 afirma que não há atribuição direta a atores específicos nas evidências apresentadas.
Limpeza, mitigação e situação das correções
As fontes reportam que a Samsung corrigiu CVE‑2025‑21042 em abril de 2025. Além disso, uma falha relacionada no mesmo componente, registrada como CVE‑2025‑21043, recebeu patch em setembro de 2025. Com as correções aplicadas, o risco imediato para dispositivos atualizados fica mitigado; no entanto, a operação percorreu vários meses antes de ser detectada, mostrando a persistência e a furtividade desse tipo de spyware.
Recomendações técnicas implícitas nas comunicações dos pesquisadores incluem: aplicar atualizações de segurança fornecidas pelo fabricante e manter atenção a previews automáticos de imagens em apps de mensagem. As fontes não detalham medidas de detecção específicas além da aplicação dos patches.
Limites das informações
As matérias e o relatório consultado descrevem a técnica, as amostras e o escopo de modelos/versões afetadas, mas não publicam números de vítimas nem indicam atribuição inequívoca do ataque a um operador estatal ou organização. Onde houver divergência entre relatórios públicos, as fontes citadas apontam apenas sobreposições de infraestrutura e similaridades táticas com fornecedores conhecidos, sem afirmar responsabilidade.
Repercussão e próximos passos
O caso LANDFALL reforça duas tendências observadas em ataques móveis recentes: (1) a utilização de processadores de imagens como vetor de execução remota e (2) o uso comercial de exploits por fornecedores privados para operações de vigilância regional. A descoberta também evidencia que patches nem sempre são aplicados de imediato em todos os dispositivos, permitindo janelas de exploração prolongadas.
Para equipes de segurança corporativa e profissionais de response móvel, os passos imediatos são claros: validar inventário de dispositivos, confirmar aplicação dos patches de abril/2025 (CVE‑2025‑21042) e de setembro/2025 (CVE‑2025‑21043) quando aplicáveis, e revisar políticas de preview/visualização automática de imagens em clientes de mensagem gerenciados. Em ambientes regulados pelo Brasil, a documentação de controle e comunicação de incidentes deve considerar impactos potenciais sob a LGPD quando houver exfiltração de dados pessoais identificáveis; no caso em análise, não há indicação pública de vítimas brasileiras.
O que permanece desconhecido
Faltam números públicos de comprometimento, vetores adicionais de distribuição fora de apps de mensagem e evidências abertas que vinculem operadores concretos ao LANDFALL. As fontes também não descrevem, em detalhe público, mecanismos de persistência usados após a execução inicial.
Resumo operacional
- Campanha: LANDFALL (conforme Unit 42)
- Vulnerabilidade principal: CVE‑2025‑21042 (libimagecodec.quram.so)
- Modelos/versões citados: Galaxy S22/S23/S24 e Z series — Android 13–15
- Janela de atividade das amostras no VirusTotal: julho/2024 a início/2025
As fontes consultadas não permitem conclusões além do que foi publicado; portanto, todas as recomendações seguem a documentação de correção e as observações técnicas disponibilizadas pelo relatório referenciado.