Zero-day em codec de imagem da Samsung (CVE-2025-21042) foi explorado para instalar o spyware modular LANDFALL
Uma falha de gravação fora dos limites (out-of-bounds write) na biblioteca libimagecodec.quram.so, presente em diversos modelos Galaxy, foi explorada como zero-day desde meados de 2024 para instalar o spyware comercial LANDFALL via imagens DNG maliciosas enviadas pelo WhatsApp. A Samsung corrigiu a falha em abril de 2025, mas a exploração já vinha ocorrendo havia meses contra alvos no Iraque, Irã, Turquia e Marrocos.
Pesquisadores da Unit 42 (Palo Alto Networks) documentaram uma campanha de espionagem que explorou a CVE-2025-21042, uma vulnerabilidade de gravação fora dos limites no componente libimagecodec.quram.so usado por smartphones Samsung Galaxy S22, S23, S24, Z Fold 4 e Z Flip 4 para processar imagens. A falha recebeu CVSS 8.8 e foi corrigida pela Samsung em abril de 2025, mas amostras encontradas indicam exploração ativa desde pelo menos julho de 2024 — ou seja, quase um ano de exploração como zero-day antes da correção.
O vetor de entrega identificado foi o envio de arquivos de imagem no formato DNG (Digital Negative) maliciosamente formatados via WhatsApp, contendo um arquivo ZIP embutido com o exploit e bibliotecas de suporte. Ao processar a imagem, o codec vulnerável sofre a escrita fora dos limites, abrindo caminho para execução de código. A Unit 42 levanta a hipótese de que a cadeia poderia funcionar de forma zero-click, embora reconheça não haver confirmação de uma falha específica no próprio WhatsApp que viabilizasse isso sem interação do usuário. Uma vez instalado, o LANDFALL é um framework de spyware modular com capacidades completas de vigilância: gravação de microfone, rastreamento de localização, coleta de fotos e contatos, interceptação de SMS e de registros de chamada, exfiltrando tudo via HTTPS para servidores de C2 que também entregam módulos adicionais em estágios.
Para forense móvel e resposta a incidentes, o caso reforça a importância de dois pontos práticos: primeiro, verificar o nível de patch do dispositivo e cruzá-lo com a janela de exploração conhecida (pré-abril de 2025) ao investigar comprometimentos suspeitos em aparelhos Samsung da linha afetada; segundo, procurar artefatos residuais em imagens forenses do dispositivo — arquivos DNG anômalos na pasta de mídia do WhatsApp, processos ou pacotes associados ao framework LANDFALL, e tráfego HTTPS para infraestrutura de C2 correlacionada. A sobreposição de infraestrutura observada com o grupo Stealth Falcon (também conhecido como FruityArmor) é uma pista de atribuição relevante para equipes de threat intelligence, ainda que a Unit 42 não confirme uma ligação direta.
O caso também se insere em um padrão mais amplo de exploração de parsers de imagem/codec como superfície de ataque para comprometimento zero-click ou quase-zero-click de dispositivos móveis — um vetor historicamente difícil de mitigar porque a imagem é processada automaticamente por apps de mensageria antes de qualquer decisão do usuário, e que segue relevante para quem constrói detecção de exploração via mídia em campanhas de spyware comercial direcionado.