Datos Rápidos

• El spyware LANDFALL explotó una vulnerabilidad previamente desconocida en los teléfonos Samsung Galaxy.
• La campaña duró nueve meses y se centró principalmente en usuarios de Oriente Medio.
• Los atacantes enviaron archivos de imagen maliciosos, posiblemente a través de WhatsApp, sin requerir interacción del usuario.
• Samsung corrigió la vulnerabilidad en abril de 2025, meses después de que fuera reportada.
• LANDFALL comparte tácticas con spyware comercial conocido vinculado a intereses gubernamentales regionales.

Una Invasión Silenciosa: Cómo LANDFALL Rompió las Defensas

Imagina despertar y descubrir que alguien deslizó una carta bajo tu puerta - tan hábilmente disfrazada que ni siquiera la notaste. Para cientos, quizás miles, de usuarios de Samsung Galaxy en Oriente Medio, esto fue una realidad. Durante un periodo de nueve meses, una nueva variante de spyware para Android, llamada LANDFALL, se infiltró en dispositivos explotando una falla oculta en el sistema de procesamiento de imágenes de Samsung. ¿La particularidad? Las víctimas ni siquiera necesitaban hacer clic en nada - el ataque podía ejecutarse tan pronto como llegaba una imagen maliciosa, posiblemente a través de una aplicación de chat cotidiana como WhatsApp.

La Anatomía de un Ataque Sin Clics

El arma elegida por LANDFALL era un archivo de imagen Digital Negative (DNG) alterado. Oculto al final de estos archivos había un archivo comprimido - como un caballo de Troya - diseñado para engañar al software del teléfono y abrir una puerta trasera. Esta vulnerabilidad de día cero, desconocida para Samsung en ese momento, permitía a los atacantes activar silenciosamente el micrófono, rastrear ubicaciones, grabar llamadas y extraer fotos, mensajes, contactos y registros de llamadas. La campaña fue quirúrgica en su precisión, repitiendo patrones vistos en spyware comercial utilizado por gobiernos y empresas privadas de vigilancia.

Spyware Comercial: El Mercado en la Sombra

El spyware comercial es un gran negocio, operando a menudo en la zona gris legal donde la vigilancia se cruza con el lucro. La infraestructura y el “saber hacer” operativo de LANDFALL guardan un notable parecido con los desplegados por Stealth Falcon, un grupo con supuestos vínculos con los Emiratos Árabes Unidos y un historial de ataques a disidentes y periodistas. Aunque los vínculos directos no han sido probados, las similitudes sugieren que LANDFALL podría ser otro producto de la creciente industria privada de spyware, donde las herramientas se venden al mejor postor - frecuentemente actores estatales con grandes recursos y motivos políticos.

Un Patrón de Silencio y Retraso

La vulnerabilidad fue reportada de manera privada a Samsung en septiembre de 2024, pero la solución no llegó hasta abril de 2025. Mientras tanto, los atacantes apuntaron a dispositivos Galaxy de alta gama, incluyendo los modelos ZFOLD4, ZFlip4 y S22 a S24. Equipos de seguridad en Turquía identificaron los servidores de comando de LANDFALL como maliciosos, lo que sugiere que víctimas turcas se sumaron a las de Irak, Irán y Marruecos. La verdadera magnitud de la operación - y la identidad de quienes están detrás - siguen siendo un misterio.

WIKICROOK

• Zero: Una vulnerabilidad de día cero es una falla de seguridad oculta desconocida para el fabricante del software, sin solución disponible, lo que la hace sumamente valiosa y peligrosa para los atacantes.
• Zero: Una vulnerabilidad de día cero es una falla de seguridad oculta desconocida para el fabricante del software, sin solución disponible, lo que la hace sumamente valiosa y peligrosa para los atacantes.
• Servidor de Comando y Control (C2): Un servidor de Comando y Control (C2) gestiona de forma remota dispositivos infectados con malware, enviando instrucciones y recibiendo datos robados de sistemas comprometidos.
• Imagen Digital Negative (DNG): Una imagen Digital Negative (DNG) es un formato de archivo fotográfico que almacena datos adicionales y, si se usa de forma maliciosa, puede ocultar malware.
• Spyware Comercial: El spyware comercial es software vendido a organizaciones para monitorear dispositivos, a menudo por motivos de seguridad, pero puede ser abusado para vigilancia no autorizada y violaciones de la privacidad.