Ένα νέο, εξαιρετικά εξελιγμένο spyware για Android, με την ονομασία Landfall, εντοπίστηκε να στοχεύει τηλέφωνα Samsung Galaxy στο πλαίσιο μιας μακρόχρονης, καλά οργανωμένης εκστρατείας κυβερνοκατασκοπείας που διήρκεσε σχεδόν έναν χρόνο. Οι ερευνητές ασφαλείας της Μονάδας 42 της Palo Alto Networks αποκάλυψαν ότι το κακόβουλο λογισμικό εκμεταλλευόταν ένα άγνωστο μέχρι τότε κενό ασφαλείας (zero-day) στο λειτουργικό των Galaxy, το οποίο επέτρεπε την πλήρη παραβίαση της συσκευής χωρίς καμία ενέργεια από τον χρήστη.
Η ανακάλυψη και η zero-day ευπάθεια
Το Landfall εντοπίστηκε για πρώτη φορά τον Ιούλιο του 2024, όταν η Μονάδα 42 εντόπισε ασυνήθιστη δραστηριότητα σε συγκεκριμένες συσκευές Galaxy. Το spyware εκμεταλλευόταν μια ευπάθεια στο σύστημα επεξεργασίας εικόνων του Android, η οποία επέτρεπε την αποστολή κακόβουλα τροποποιημένων εικόνων που μπορούσαν να ενεργοποιήσουν την επίθεση. Σύμφωνα με τους ερευνητές, το μόνο που χρειαζόταν ήταν ο στόχος να λάβει τη συγκεκριμένη εικόνα, πιθανώς μέσω εφαρμογής ανταλλαγής μηνυμάτων – χωρίς να χρειάζεται καν να την ανοίξει.
Δείτε επίσης: Τα LeakyInjector και LeakyStealer κλέβουν κρυπτονομίσματα και ιστορικό περιήγησης
Η ευπάθεια, που καταγράφηκε ως CVE-2025-21042, επιδιορθώθηκε τελικά από τη Samsung τον Απρίλιο του 2025 με ενημέρωση ασφαλείας. Μέχρι τότε, όμως, οι χάκερ είχαν καταφέρει να αποκτήσουν πρόσβαση σε αδιευκρίνιστο αριθμό συσκευών.
Εστιασμένες επιθέσεις, όχι μαζική εξάπλωση
Ο ανώτερος ερευνητής Itay Cohen εξήγησε στο TechCrunch ότι η εκστρατεία Landfall δεν είχε τα χαρακτηριστικά μιας ευρείας καμπάνιας malware. Αντίθετα, επρόκειτο για επιθέσεις ακριβείας που στόχευαν συγκεκριμένα άτομα, πιθανότατα με πολιτικό ή δημοσιογραφικό ενδιαφέρον.
«Δεν πρόκειται για malware που διανέμεται μαζικά – οι επιθέσεις φαίνεται να προέρχονται από κρατικά χρηματοδοτούμενη κατασκοπεία», ανέφερε ο Cohen.
Οι ενδείξεις οδηγούν σε στόχους στη Μέση Ανατολή, με δείγματα του spyware να έχουν εντοπιστεί σε χώρες όπως Μαρόκο, Ιράν, Ιράκ και Τουρκία, σύμφωνα με αναλύσεις στη βάση δεδομένων του VirusTotal. Η τουρκική εθνική ομάδα κυβερνοασφάλειας USOM είχε μάλιστα επισημάνει μία από τις IP διευθύνσεις του Landfall ως κακόβουλη, ενισχύοντας την εκτίμηση ότι πολίτες στην Τουρκία ενδέχεται να στοχοποιήθηκαν.
Πιθανή σύνδεση με γνωστό προμηθευτή επιτήρησης
Η Μονάδα 42 εντόπισε ότι το Landfall χρησιμοποιεί παρόμοια ψηφιακή υποδομή με εκείνη του Stealth Falcon, ενός γνωστού προμηθευτή κυβερνητικού spyware που δρα από το 2012 και έχει συνδεθεί με επιθέσεις εναντίον δημοσιογράφων, ακτιβιστών και αντιφρονούντων στα Ηνωμένα Αραβικά Εμιράτα.
Δείτε επίσης: Κακόβουλα πακέτα npm περιέχουν το Vidar infostealer
Αν και οι ομοιότητες είναι εμφανείς, οι ερευνητές διευκρινίζουν ότι δεν υπάρχουν ακόμη επαρκείς αποδείξεις για να αποδοθεί με βεβαιότητα η εκστρατεία σε συγκεκριμένο κρατικό πελάτη.
Η υπόθεση θυμίζει έντονα άλλες περιπτώσεις κυβερνοκατασκοπείας, όπως εκείνες των Pegasus και Predator, όπου εμπορικά spyware εργαλεία χρησιμοποιήθηκαν για παρακολούθηση πολιτών υπό το πρόσχημα της «εθνικής ασφάλειας».
Πλήρης έλεγχος συσκευής και συλλογή δεδομένων
Το Landfall αποδείχθηκε ικανό να παρέχει στους επιτιθέμενους ολική πρόσβαση στη συσκευή του θύματος. Μεταξύ άλλων, μπορούσε να:
- Διαβάζει μηνύματα, επαφές και αρχεία καταγραφής κλήσεων,
- Ενεργοποιεί το μικρόφωνο ή την κάμερα,
- Εντοπίζει την ακριβή γεωγραφική θέση,
- Και να αντιγράφει φωτογραφίες ή αρχεία από τη μνήμη της συσκευής.
Η ανάλυση του πηγαίου κώδικα αποκάλυψε ότι το spyware είχε ρυθμιστεί να στοχεύει πέντε συγκεκριμένα μοντέλα Galaxy, μεταξύ των οποίων τα S22, S23, S24 και ορισμένα foldable μοντέλα Z. Οι ερευνητές θεωρούν ότι η ευπάθεια μπορεί να επηρέαζε εκδόσεις Android 13 έως 15.
Η απάντηση της Samsung και τα μαθήματα ασφάλειας
Παρά τις αποκαλύψεις, η Samsung δεν έχει ακόμη σχολιάσει επίσημα το περιστατικό. Η εταιρεία πάντως έχει ήδη διαθέσει το σχετικό patch ασφαλείας, συμβουλεύοντας τους χρήστες να ενημερώσουν άμεσα τις συσκευές τους.
Δείτε επίσης: Trojanized ESET installers εγκαθιστούν το Kalambur backdoor
Το περιστατικό αναδεικνύει για ακόμη μια φορά το πόσο ευάλωτα είναι ακόμη και τα flagship smartphones όταν πρόκειται για zero-day ευπάθειες. Ειδικά σε περιόδους γεωπολιτικής έντασης, τέτοια spyware εργαλεία μετατρέπονται σε όπλα ψηφιακής επιτήρησης με απρόβλεπτες συνέπειες.
Η νέα εποχή των “αόρατων” επιθέσεων
Η υπόθεση Landfall επιβεβαιώνει την αυξανόμενη τάση των «αθόρυβων» επιθέσεων, όπου οι χάκερ δεν χρειάζονται πια να ξεγελάσουν το θύμα για να αποκτήσουν πρόσβαση. Αντίθετα, εκμεταλλεύονται βαθύτερα κενά στο λογισμικό και εξαφανίζονται προτού γίνουν αντιληπτοί.
Για τους ερευνητές κυβερνοασφάλειας, η συγκεκριμένη υπόθεση αποτελεί μια καμπή στη μάχη κατά του spyware, καθώς δείχνει πως οι zero-day ευπάθειες εξακολουθούν να είναι το «ιερό δισκοπότηρο» των ψηφιακών κατασκόπων.
Η προστασία των χρηστών απαιτεί πλέον διαρκείς ενημερώσεις, περιορισμό αχρείαστων αδειών στις εφαρμογές και μια νέα κουλτούρα ψηφιακής εγρήγορσης — ειδικά όταν το κινητό μας μπορεί να αποδειχθεί το πιο ευάλωτο σημείο της ιδιωτικότητάς μας.
