<\/a>An\u00e1lisis del Spyware LANDFALL<\/h2>\nLANDFALL es un spyware para Android dise\u00f1ado espec\u00edficamente para dispositivos Samsung Galaxy, probablemente utilizado en actividades de intrusi\u00f3n dirigidas en Medio Oriente. Este spyware modular est\u00e1 dise\u00f1ado para el espionaje y la exfiltraci\u00f3n de datos.<\/p>\n
La cadena de infecci\u00f3n de LANDFALL involucra un exploit para CVE-2025-21042, una vulnerabilidad en la biblioteca de procesamiento de im\u00e1genes de Samsung rastreada por el proveedor con el designador SVE (Samsung Vulnerabilities and Exposures) SVE-2024-1969. Creemos que una cadena de ataque completa seguir\u00eda un patr\u00f3n de posible ejecuci\u00f3n remota de c\u00f3digo zero-click<\/em>, comenzando con la entrega de las im\u00e1genes DNG malformadas.<\/p>\nDos componentes del spyware LANDFALL est\u00e1n incrustados dentro de las im\u00e1genes DNG malformadas y ser\u00edan extra\u00eddos y ejecutados, tras un exploit exitoso:<\/p>\n
\n- Cargador (b.so<\/span>):<\/strong> Un objeto compartido ELF ARM64 (106 KB, stripped<\/em> y vinculado din\u00e1micamente) que sirve como el backdoor principal.<\/li>\n
- Manipulador de Pol\u00edticas SELinux (l.so<\/span>):<\/strong> Extra\u00eddo de un binario ELF comprimido con XZ, este componente est\u00e1 dise\u00f1ado para manipular la pol\u00edtica SELinux del dispositivo para otorgar a LANDFALL permisos elevados y ayudar a la persistencia. (Ap\u00e9ndice A - Manipulaci\u00f3n de la Pol\u00edtica SELinux)<\/li>\n<\/ul>\n
La Tabla 2 muestra los archivos componentes de LANDFALL incrustados dentro de las muestras DNG maliciosas.<\/p>\n
\n\n\n| Hash SHA256<\/b><\/td>\n | Componente LANDFALL<\/b><\/td>\n | Visto por primera vez<\/b><\/td>\n<\/tr>\n\n| ffeeb0356abb56c5084756a5ab0a39002832403bca5290bb6d794d14b642ffe2<\/span><\/td>\n | Componente <\/span>b.so <\/span><\/td>\n | July 23, 2024<\/span><\/td>\n<\/tr>\n\n| d2fafc7100f33a11089e98b660a85bd479eab761b137cca83b1f6d19629dd3b0<\/span><\/td>\n | Componente b.so<\/span><\/span><\/td>\n | Aug. 27, 2024<\/span><\/td>\n<\/tr>\n\n| a62a2400bf93ed84ebadf22b441924f904d3fcda7d1507ba309a4b1801d44495<\/span><\/td>\n | Componente b.so<\/span><\/span><\/td>\n | Jan. 23, 2025<\/span><\/td>\n<\/tr>\n\n| 384f073d3d51e0f2e1586b6050af62de886ff448735d963dfc026580096d81bd<\/span><\/td>\n | Componente b.so<\/span><\/span><\/td>\n | Feb. 10, 2025<\/span><\/td>\n<\/tr>\n\n| 211311468f3673f005031d5f77d4d716e80cbf3c1f0bb1f148f2200920513261<\/span><\/td>\n | Archivo comprimido XZ (l<\/span>) para el manipulador de pol\u00edticas SELinux<\/span><\/td>\n | July 23, 2024<\/span><\/td>\n<\/tr>\n\n| 69cf56ac6f3888efa7a1306977f431fd1edb369a5fd4591ce37b72b7e01955ee<\/span><\/td>\n | Manipulador de pol\u00edticas SELinux (l.so<\/span>) extra\u00eddo del archivo comprimido XZ<\/span><\/td>\n | July 23, 2024<\/span><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Tabla 2. Componentes de LANDFALL incrustados en los archivos de imagen DNG.<\/span><\/p>\nNuestro an\u00e1lisis indica que LANDFALL es un spyware de Android multicomponente dise\u00f1ado para monitoreo y exfiltraci\u00f3n de datos.<\/span><\/h4>\nNuestro an\u00e1lisis se centra en el componente <\/span>b.so<\/span>, que sirve como el cargador inicial para un framework LANDFALL m\u00e1s amplio. En sus propios artefactos de depuraci\u00f3n, el componente se refiere a s\u00ed mismo como \"Bridge Head\" (Cabeza de Puente). Esto ser\u00e1 de inter\u00e9s m\u00e1s adelante cuando discutamos las posibles relaciones entre LANDFALL y grupos de spyware conocidos.<\/span><\/h4>\nCapacidades Potenciales de LANDFALL<\/h3>\nEl componente <\/span>b.so<\/span> de LANDFALL contiene numerosas cadenas de depuraci\u00f3n y estado, pero no contiene la l\u00f3gica que realmente hace referencia a la mayor\u00eda de estas cadenas. Esto sugiere que <\/span>b.so<\/span> descargar\u00eda componentes adicionales para estas capacidades. Nuestro an\u00e1lisis de las cadenas de comando incrustadas y las rutas de ejecuci\u00f3n dentro del archivo <\/span>b.so<\/span> proporciona informaci\u00f3n sobre las capacidades potenciales m\u00e1s amplias de LANDFALL.<\/span><\/h4>\nHuella Digital del Dispositivo (<\/span>Device Fingerprinting<\/span><\/i>)<\/span><\/h4>\n\n- Versi\u00f3n del SO<\/span><\/li>\n
- ID de hardware (IMEI)<\/span><\/li>\n
- ID de SIM\/Suscriptor (IMSI)<\/span><\/li>\n
- Serie de la tarjeta SIM<\/span><\/li>\n
- Cuenta de usuario<\/span><\/li>\n
- N\u00famero de correo de voz<\/span><\/li>\n
- Configuraci\u00f3n de red<\/span><\/li>\n
- Inventario de aplicaciones instaladas<\/span><\/li>\n
- Acceso a servicios de ubicaci\u00f3n<\/span><\/li>\n
- Estado de VPN<\/span><\/li>\n
- Estado de depuraci\u00f3n USB<\/span><\/li>\n
- Bluetooth<\/span><\/li>\n<\/ul>\n
Exfiltraci\u00f3n de Datos<\/span><\/h4>\n\n- Grabaci\u00f3n de micr\u00f3fono<\/span><\/li>\n
- Grabaci\u00f3n de llamadas<\/span><\/li>\n
- Historial de llamadas<\/span><\/li>\n
- Base de datos de contactos<\/span><\/li>\n
- Datos de SMS\/mensajer\u00eda<\/span><\/li>\n
- Fotos de la c\u00e1mara<\/span><\/li>\n
- Archivos arbitrarios<\/span><\/li>\n
- Bases de datos en el dispositivo (historial de navegaci\u00f3n, etc.)<\/span><\/li>\n<\/ul>\n
Ejecuci\u00f3n, Carga y Persistencia<\/span><\/h4>\n\n- Carga de m\u00f3dulos de objetos compartidos nativos (.so<\/span>)<\/span><\/li>\n
- Carga y ejecuci\u00f3n de archivos DEX desde memoria y disco<\/span><\/li>\n
- Inyecci\u00f3n de procesos<\/span><\/li>\n
- Ejecuci\u00f3n mediante <\/span>LD_PRELOAD<\/span><\/li>\n
- Ejecuci\u00f3n de comandos arbitrarios<\/span><\/li>\n
- Manipulaci\u00f3n de SELinux<\/span><\/li>\n
- Persistencia<\/span><\/li>\n
- Modificaci\u00f3n de la pol\u00edtica SELinux mediante binario comprimido<\/span><\/li>\n
- Monitoreo del directorio de medios de WhatsApp para payloads adicionales<\/span><\/li>\n
- Registro del cliente web de WhatsApp<\/span><\/li>\n
- Manipulaci\u00f3n del sistema de archivos en directorios de aplicaciones de Android<\/span><\/li>\n
- Manipulaci\u00f3n del sistema de archivos<\/span><\/li>\n<\/ul>\n
Evasi\u00f3n y Elusi\u00f3n de Defensas<\/span><\/h4>\n\n- Detecci\u00f3n del depurador TracerPid<\/span><\/li>\n
- Detecci\u00f3n del framework de instrumentaci\u00f3n Frida<\/span><\/li>\n
- Detecci\u00f3n del framework Xposed<\/span><\/li>\n
- Carga din\u00e1mica de bibliotecas con manipulaci\u00f3n de <\/span>namespaces<\/span><\/i><\/li>\n
- Certificate pinning<\/span><\/i> para comunicaciones C2<\/span><\/li>\n
- Limpieza del payload de im\u00e1genes de WhatsApp<\/span><\/li>\n<\/ul>\n
Modelos de dispositivos objetivo<\/h4>\n | | | | | | |
![\"Captura](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/11\/word-image-202671-164723-1.png\")
![\"Diagrama](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/11\/Es-2-Samsung-568x440.png\")