Investigadores de seguridad descubrieron un software informador de Android dirigido a teléfonos Samsung Galaxy durante una campaña de piratería que duró casi un año.

Los investigadores de la Mecanismo 42 de Palo Detención Networks dijeron que el software informador, al que llaman “Landfall”, se detectó por primera vez en julio de 2024 y se basó en la explotación de una equivocación de seguridad en el software del teléfono Galaxy que Samsung desconocía en ese momento, un tipo de vulnerabilidad conocida como día cero.

La Mecanismo 42 dijo que se podría aprovecharse de la equivocación enviando una imagen creada con fines malintencionados al teléfono de la víctima, probablemente entregada a través de una aplicación de correo, y que es posible que los ataques no hayan requerido ninguna interacción por parte de la víctima.

Samsung parcheado la equivocación de seguridad, rastreada como CVE-2025-21042, en abril de 2025, pero los detalles de la campaña de software informador que abusa de la equivocación no se han informado anteriormente.

Los investigadores dijeron que no se sabe qué proveedor de vigilancia desarrolló el software informador Landfall, ni se sabe cuántas personas fueron atacadas como parte de la campaña. Pero los investigadores dijeron que los ataques probablemente estaban dirigidos a personas en el Medio Oriente.

Itay Cohen, investigador principal de la Mecanismo 42, dijo a TechCrunch que la campaña de piratería consistió en un “ataque de precisión” a individuos específicos y no un malware distribuido masivamente, lo que indica que los ataques probablemente fueron impulsados ​​por espionaje.

La Mecanismo 42 descubrió que el software informador Landfall comparte una infraestructura digital superpuesta utilizada por un conocido proveedor de vigilancia denominado Duro sigilosoque se ha manido anteriormente en ataques de software informador contra periodistas, activistas y disidentes emiratíes desde 2012. Pero los investigadores dijeron que los vínculos con Stealth Falcon, aunque intrigantes, no eran suficientes para atribuir claramente los ataques a un cliente público en particular.

La Mecanismo 42 dijo que las muestras de software informador Landfall que descubrieron habían sido cargadas en VirusTotal, un servicio de escaneo de malware, de personas en Marruecos, Irán, Irak y Turquía durante 2024 y principios de 2025.

El equipo doméstico de preparación cibernética de Turquía, conocido como USOMmarcó una de las direcciones IP a las que se conectó el software informador Landfall como maliciosa, lo que, según la Mecanismo 42, respalda la teoría de que personas en Turquía pueden acontecer sido atacadas.

Al igual que otros programas informador gubernamentales, Landfall es capaz de realizar una amplia vigilancia del dispositivo, como ingresar a los datos de la víctima, incluidas fotos, mensajes, contactos y registros de llamadas, así como tocar el micrófono del dispositivo y rastrear su ubicación precisa.

La Mecanismo 42 descubrió que el código fuente del software informador hacía narración a cinco teléfonos Galaxy específicos, incluidos los Galaxy S22, S23, S24 y algunos modelos Z, como objetivos. Cohen dijo que la vulnerabilidad incluso puede acontecer estado presente en otros dispositivos Galaxy y afectó a las versiones 13 a 15 de Android.

Samsung no respondió a una solicitud de comentarios.