App espião explorou a vulnerabilidade CVE-2025-21042 em celulares Galaxy S22, S23, S24 e linha Z, ataque durou quase um ano até correção da Samsung
Um app espião identificado como Landfall comprometeu celulares da linha Galaxy explorando uma falha zero-day no Android modificado pela Samsung. Segundo a Unit 42, divisão de cibersegurança da Palo Alto Networks, a campanha ficou ativa por quase um ano e mirou alvos específicos no Oriente Médio, com relatos envolvendo usuários em Marrocos, Irã, Iraque e Turquia. A vulnerabilidade, catalogada como CVE-2025-21042, foi corrigida em abril de 2025.
De acordo com o levantamento, o app espião aproveitava uma brecha que permitia ao invasor enviar uma imagem contaminada por aplicativos de mensagens, o que resultava em infecção sem que o usuário precisasse realizar qualquer ação, um cenário conhecido como zero-click. A descoberta pública do Landfall ocorreu em julho de 2024, e o caso guarda semelhanças com técnicas e infraestrutura associadas ao grupo Stealth Falcon, embora não haja atribuição conclusiva.
Como o app espião Landfall funcionava
O app espião Landfall explorava uma falha até então desconhecida pela Samsung, caracterizada como zero-day. A cadeia de ataque tirava proveito de uma imagem maliciosa enviada por mensageiros populares, algo que dispensava cliques ou interações do usuário. Uma vez estabelecido no sistema, o spyware ganhava amplo acesso aos dados do aparelho.
Pesquisadores detalham que o Landfall conseguia extrair fotos, mensagens, contatos e registros de chamadas, além de ativar o microfone e rastrear a localização das vítimas. A análise de código apontou referências explícitas a modelos como Galaxy S22, Galaxy S23, Galaxy S24 e aparelhos da linha Z. Especialistas avaliam, contudo, que outros dispositivos com Android 13, Android 14 e Android 15 também podem ter sido afetados, a depender da combinação de versões e correções ativas em cada aparelho.
A falha específica, identificada como CVE-2025-21042, foi endereçada pela Samsung no pacote de segurança distribuído em abril de 2025. Até a correção, a ameaça permaneceu ativa por meses, explorando o ecossistema Galaxy em silêncio e com alto grau de sigilo.
Quem foi alvo e por que a campanha foi limitada
A Unit 42 descreve o alcance do app espião como reduzido, focado em perfis de interesse no Oriente Médio. As evidências indicam vítimas em Marrocos, Irã, Iraque e Turquia. Um dos endereços IP associados ao malware chegou a ser classificado como malicioso pela equipe nacional de resposta cibernética da Turquia, a USOM, reforçando a suspeita de que cidadãos turcos estavam entre os alvos prioritários.
Em nota citada pela Unit 42, o pesquisador sênior Itay Cohen resumiu a natureza da operação: “foi um ataque de precisão contra indivíduos específicos”. O perfil, portanto, é distinto de campanhas massivas de disseminação de malware, nas quais há escalada rápida de vítimas e ruído amplo em serviços de detecção e resposta. Aqui, a tática foi silenciosa, com objetivos típicos de espionagem digital.
Os investigadores também notaram semelhanças entre a infraestrutura do Landfall e a de Stealth Falcon, grupo historicamente ligado a ataques contra jornalistas e ativistas nos Emirados Árabes Unidos. Ainda assim, os próprios pesquisadores ressaltam que não há provas suficientes para atribuir o caso a um governo, a um fornecedor de vigilância ou a um ator específico.
O que fazer agora, atualizações e proteção
Para quem usa celulares Galaxy, o passo mais importante é garantir a instalação das atualizações de segurança de abril de 2025 ou posteriores, que corrigem a CVE-2025-21042. Verifique em Configurações, Atualização de software, e aplique todos os updates disponíveis, inclusive dos apps do sistema e da Galaxy Store. Manter o dispositivo atualizado reduz significativamente o risco de exploração por apps espiões como o Landfall.
Como camada adicional, vale revisar as configurações de privacidade dos mensageiros e, quando possível, desativar downloads automáticos de mídia recebida. Evite instalar aplicativos fora das lojas oficiais, ative recursos de detecção como o Google Play Protect e desconfie de mensagens inesperadas que contenham imagens e arquivos de origem desconhecida. Em ambientes corporativos, é recomendável que equipes de TI reforcem políticas de segurança móvel e monitorem anomalias em tráfego de rede e permissões sensíveis.
O episódio do app espião Landfall serve de alerta para a sofisticação dos ataques móveis atuais, que se aproveitam de brechas em camadas específicas do sistema, buscando persistência e baixo perfil. Com correções já disponíveis, a melhor defesa é agir rápido, manter o Android do Galaxy atualizado e adotar rotinas de segurança que reduzam a superfície de ataque, especialmente em cenários de alto risco e perfis com maior exposição.