【雲智維資安預警通知】

一、摘要
 
         資安業者Palo Alto Networks揭露安卓間諜軟體LandFall的攻擊行動，鎖定伊拉克、伊朗、土耳其，以及摩洛哥等國家而來，過程裡利用三星今年4月修補的手機零時差漏洞CVE-2025-21042。

二、存在風險

         資安業者Palo Alto Networks揭露安卓間諜軟體LandFall的攻擊行動，利用三星今年4月修補的手機零時差漏洞CVE-2025-21042。此間諜軟體具備全面監控的能力，包含麥克風錄音、地理位置追蹤，以及任意檔案、聯絡人與通話記錄。

         攻擊者透過格式錯誤的數位負片檔案（DNG檔）觸發，透過「零點擊」（zero-click）方式傳送，利用了三星影像處理庫 （libimagecodec.quram.so）中的漏洞（CVE-2025-21042／SVE-2024-1969）， 並在受害裝置植入間諜軟體。而對於間諜軟體的來源，Palo Alto Networks推測，這項威脅與專門開發及販售商業間諜軟體的公司（Private Sector Offensive Actors，PSOA）有關，原因是相關活動與其他中東的商業間諜軟體共用部分基礎設施，但他們無法確認LandFall開發商的身分。

         該間諜軟體主要針對三星 Galaxy 系列裝置（如 S23、S24、Fold4、Flip4 等）進行監控活動。


IoC：


WhatsApp Image 2025-02-10 at 4.54.17 PM.jpeg 
SHA256 Hash: 297888746158e38d320b05b27b0032b2cc29231be8990d87bc46f1e06456f93
WhatsApp Image 2024-08-27 at 11.48.40 AM.jpeg
SHA256 Hash:c0f30c2a2d6f95b57128e78dc0b7180e69315057e62809de1926b75f86516b2e
PHOTO-2024-08-27-11-48-41.jpg
SHA256 Hash: b975b499baa3119ac5c2b3379306d4e50b9610e9bba3e56de7dfd3927a96032d
IMG-20250120-WA0005.jpg
SHA256 Hash: b06dec10e8ad0005ebb9da24204c96cb2e297bd8d418bc1c8983d066c0997756
IMG-20240723-WA0001.jpg
SHA256 Hash: 29882a3c426273a7302e852aa77662e168b6d44dcebfca53757e29a9cdf02483
IMG-20240723-WA0000.jpg
SHA256 Hash: b45817ffb0355badcc89f2d7d48eecf00ebdf2b966ac986514f9d971f6c57d18
b.so component
ffeeb0356abb56c5084756a5ab0a39002832403bca5290bb6d794d14b642 fffe2
d2fafc7100f33a11089e98b660a85hd479eab761b137cca83b166d19629dd3b0
a62a2400bf93ed84ebadf22b4441924f904d3fcda7d1507ba309a4b1801d4444495
3841073d3d51e0f2e1586b6050af62de886f5448735d963dfc026580096d81bd
211311468f36731005031d5f77d4d4d716e80cbf3c1f0bb1f148f2200920513261
69cf56ac6f38888efa7a1306977431fdledb369a5fd4591ce37b72b7e0195555ee


三、建議改善措施

如使用的是三星 Galaxy 裝置，請確保已安裝 2025 年 4 月或以後的韌體更新，以涵蓋 CVE-2025-21042 的修補。
留意來自 WhatsApp 或其他通訊應用程式的可疑影像檔案，特別是 DNG 或命名類似 “WhatsApp Image…” 的檔案，不輕易開啟。
安裝並啟用可信的行動安全/防惡意程式工具，並留意是否有異常通訊、電量消耗異常、裝置過熱等可疑跡象。


        情資報告連結：


https://unit42.paloaltonetworks.com/landfall-is-new-commercial-grade-android-spyware/