LANDFALL: Samsung Galaxy -puhelimiin kohdistunut vakoilu

Samsung Galaxy -puhelimia kohdistettiin hiljaa ja tarkasti suunnitellulla vakoiluohjelmalla, joka oli piilotettu kuvafileihin lähes vuoden ajan ennen kuin pysyvä korjaus otettiin laajasti käyttöön. Hyökkäys hyödynsi nollapäivähaavoittuvuutta Samsungin kuvankäsittelykirjastossa ja antoi operaattoreille syvän, näkymättömän pääsyn uhrien laitteisiin ilman käyttäjän klikkausta tai näkyvää vuorovaikutusta.

Miten hyökkäys toimi ja mitä LANDFALL teki

Tietoturvatutkijat jäljittivät kampanjan Samsungin Android-kuvankäsittelykirjaston nollapäivähaavoittuvuuteen (CVE-2025-21042). Hyökkääjät upottivat LANDFALL-nimisen vakoiluohjelman muotoiltuihin mutta virheellisiin DNG-kuvatiedostoihin; korruptoidut kuvat oli huolellisesti rakennettu laukaistakseen kirjaston haavoittuvuuden, kun puhelin yritti koodata, esikatsella tai luoda pikkukuvia tiedostoista. Tämä yksittäinen, äänetön käsittelyaskel riitti suorittamaan haittakoodin laitteessa ilman, että käyttäjän tarvitsi avata kuvaa tai napauttaa mitään.

LANDFALLin hyökkäysketju hyödynsi kuvien automaattista esikatselua ja pikkukuvaprosessointia yhdessä muistin korruptioon johtaneen virheen kanssa. Kun kirjaston dekooderi kohtasi muotoiltua DNG-dataa, se saattoi kirjoittaa muistialueille hallitsemattomasti tai muuttaa suorituspolkua, mikä mahdollisti etäajona suoritettavan koodin (RCE, remote code execution) käytön. Hyökkääjät olivat ilmeisesti rakentaneet monivaiheisen hyötykuorman, joka latasi ja asensi LANDFALLiin kuuluvat moduulit vain sen jälkeen, kun aloitusvaihe oli varmistanut onnistuneen suorituksen ja ympäristöstä saadun informaation.

Kun LANDFALL oli asennettu, se tarjosi laajat vakoiluominaisuudet ja pysyvyyden mekanismit: reaaliaikainen mikrofonin kuuntelu ja tallennus, puheluiden sieppaus tai metatietojen keruu, GPS-paikannus, pääsy valokuviin ja mediatiedostoihin, viestien ja yhteystietojen lukeminen, puhelulokit sekä selaushistorian keruu. Se oli suunniteltu myös välttämään havaituksi tulemista: haittaohjelma säilytti toimintakykynsä järjestelmän uudelleenkäynnistysten jälkeen, peitti tiedostonsa ja prosessinsa, ja käytti tekniikoita, jotka vaikeuttivat perinteisten virustorjunta- ja skannausratkaisujen löytämistä.

LANDFALL-vakoiluohjelman vuokaavio

Kohteet, aikajana ja alustojen laajuus

Palo Alto Networksin Unit 42 raportoi, että LANDFALLia käytettiin kohdistetuissa vakoilukampanjoissa, jotka olivat aktiivisia vuoden 2024 puolivälissä — kuukausia ennen kuin Samsung julkaisi korjauksen huhtikuussa 2025. Hyökkäykset eivät olleet massajakelua vaan suuntautuivat tarkasti valituille yksityishenkilöille ja toimijoille, pääosin Lähi-idän alueella, mukaan lukien Turkki, Iran, Irak ja Marokko. Kampanjan profilointi viittaa siihen, että hyökkääjillä oli etukäteen tiedossa kohderyhmien viestintätottumukset sekä käytetyt sovellukset, esimerkiksi viestisovellusten automaattisen esikatselun käyttö.

Havaitut vaikutukset kattoivat laiteperheitä, kuten Galaxy S22-, S23- ja S24-mallit sekä taittuvan näytön laitteista Z Fold 4 ja Z Flip 4. Varhaiset raportit viittasivat siihen, että Galaxy S25 -mallisto ei näyttänyt olevan kohteena, mikä voi kertoa hyökkääjien kohdennuspäätöksistä tai siitä, että Samsungin uusimman laitteistopino suojasi vastaanottavassa päässä eri tavalla. Vaikutusten laajuuden kartoittaminen on ollut haastavaa, koska kampanja oli hiljainen ja tarkasti rajoitettu; monet uhrilöydökset ovat seurausta jäljityksistä ja yksittäisten tapausten syvällisestä analyysistä.

Huhtikuun 2025 korjauksen (CVE-2025-21042) jälkeen Samsung korjasi myöhemmin toisen kuvankäsittelykirjaston nollapäivähaavoittuvuuden (CVE-2025-21043) syyskuussa 2025. Näillä peräkkäisillä korjauksilla pyrittiin sulkemaan useita hyödyntöpolkuja, jotka voivat liittyä eri kuvamuotojen, metadatamuokkausten tai esikatselutoimintojen käsittelyyn. Meta, joka on WhatsAppin emoyhtiö, on julkisesti ilmoittanut, ettei sillä ole näyttöä siitä, että WhatsApp olisi toimittanut exploit-tiedostoja itse — vaikka alkuperäisissä raporteissa mainittiin, että haitallisia DNG-tiedostoja olisi lähetetty viestintäalustojen kautta. Tämä erottelu on tärkeä: tiedostojen jakelutapa voi olla viestipalveluiden, sähköpostin, verkkosivujen tai suoraan tiedostojen jakopalveluiden välityksellä, mutta se ei tarkoita, että palveluntarjoaja olisi tietoisesti ollut osallisena hyökkäyksessä.

Miksi tämä oli merkittävää — ja miksi klikkejä ei tarvittu

Tämä kampanja korosti vaarallista ja laajenevaa trendiä mobiilitietoturvassa: mediasisällön jäsentäjä- ja esikatselukirjastot muodostavat toistuvan hyökkäyspinnan, koska niiden täytyy käsitellä runsaasti monimutkaisia ja toisinaan suljettuja formaatteja. Kuvamuodot, kuten DNG (Digital Negative), sisältävät runsaasti metadataa, eri tavoin pakattuja pikselitietoja ja mahdollisesti monitasoisia kehys- tai esikatseliosa-alueita, joiden virheellinen käsittely voi paljastaa muistin sisällä haavoittuvuuksia.

Kun laite vastaanottaa medialähetyksen, monet sovellukset suorittavat automaattisia toimintoja: generoivat pikkukuvia, lukevat EXIF-metadataa, luovat esikatselukuvia tai tallentavat väliaikaistiedostoja järjestelmään. Jos prosessi tapahtuu automaattisesti taustalla, käyttäjän ei tarvitse avata tiedostoa — pelkkä vastaanotto ja järjestelmän normaali automaattinen käsittely voivat riittää käynnistämään haavoittuvuuden hyödyntämisen. Tästä syystä LANDFALL-tyyppiset hyökkäykset ovat erityisen huolestuttavia: ne hyödyntävät perustavanlaatuisia toimintoja, joita monet käyttäjät pitävät turvallisina ja jotka on suunniteltu parantamaan käyttökokemusta (esikatselut, nopea kuvaselaus, viestien sisältöennakointi).

Lisäksi monissa Android-järjestelmissä sovellusten ja järjestelmäkomponenttien välinen eristäminen voi vaihdella laitevalmistajakohtaisesti, ja brändikohtaiset kuvankäsittelykirjastot voivat sisältää ominaisuuksia tai optimointeja, joita ei ole laajalti auditoitu. Tämä tekee Samsungin kaltaisista laajasti käytetyistä laitefamilioista erityisen houkuttelevia hyökkääjille — varsinkin jos samassa kirjastossa on ollut useita haavoittuvuuksia peräkkäin.

Käytännön toimet Galaxysi suojaamiseksi

• Asenna päivitykset: Varmista, että laitteessasi on huhtikuun 2025 Android Security -päivitys tai uudempi (sekä kaikki myöhemmät Samsungin julkaisut). Päivitykset paikkaavat tunnettuja nollapäivähaavoittuvuuksia ja usein sisältävät korjauksia järjestelmän kuvankäsittelykirjastoihin. Ota automaattiset päivitykset käyttöön tai tarkista päivitykset säännöllisesti Asetukset > Järjestelmä > Päivitykset -valikosta.
• Poista automaattinen lataus ja esikatselu käytöstä: Poista automaattinen mediain lataaminen ja auto‑preview-toiminnot viestisovelluksissa kuten WhatsApp, Telegram ja muissa sovelluksissa, joissa viestit voivat sisältää liitetiedostoja. Tämä vähentää riskiä, että haitalliset DNG- tai muut kuvat käsitellään automaattisesti taustalla.
• Käytä kovennettuja suojaustiloja: Jos olet korkean riskin käyttäjä (esim. toimittaja, kansalaisaktivisti, yritysjohto, poliittinen toimija), harkitse Androidin Advanced Protection -ominaisuuden käyttöönottoa. iOS-käyttäjille Apple tarjoaa Lockdown Mode -tilaa. Nämä tilat rajoittavat sovellusten toimintaa ja pienentävät hyökkäyspintaa.
• Rajoita sovellusten oikeuksia: Peruuta tarpeettomat oikeudet mikrofonille, sijainnille ja tallennustilalle sovelluksilta, jotka eivät selvästi tarvitse niitä. Tarkista sovelluskohtaiset oikeudet Asetukset > Sovellukset -valikosta ja poista pääsy esimerkiksi sovelluksilta, jotka eivät liity viestintään tai mediankäsittelyyn.
• Seuraa epätavallista käyttäytymistä: Tarkkaile yllättävää akun kulumista, outoa verkkoliikennettä, sovellusten äkillisiä kaatumisia tai suorituskyvyn heikentymistä. Nämä voivat olla merkkejä taustalla toimivasta haittaohjelmasta. Käytä mobiiliverkon tai kotiverkon palomuurin lokitusta ja tarvittaessa verkonvalvontatyökaluja analysoidaksesi epätavallista liikennettä.

Yksinkertaisuudessaan: päivitä laitteesi nyt, poista tuntemattomien mediatiedostojen automaattinen lataus, harkitse kovennettuja suojausasetuksia ja käsittele odottamattomia tiedostoja — myös tuttujen lähettäjien kautta tulleita — varoen. LANDFALL-tapaus muistuttaa, että arkiset toiminnot kuten kuvien esikatselu ja pikkukuvien luonti voivat muuttua hyökkäysvektoreiksi, kun ydinkirjastoissa on haavoittuvuuksia. Mobiiliturvallisuus vaatii sekä teknisiä suojauksia että käyttäjien valveutuneisuutta: yhdistelmä päivityksiä, konfiguraatioita ja hyväksi havaittuja käytäntöjä vähentää riskejä merkittävästi.

Lisäksi organisaatioiden tulisi arvioida omaa mobiiliturvallisuusarkkitehtuuriaan: hyödyntää ylläpito- ja hallintatyökaluja (MDM, EMM), auditoida laitteiden kirjastoversiot ja testata sovellusten tiedostojen käsittelyä erikoistilanteissa. Tietoturvayhteisön jatkuva tiedonvaihto, haavoittuvuuksien vastuullinen paljastaminen ja toimittajien nopeutuvat korjausketjut auttavat pienentämään samanlaisten hyökkäysten vaikutuksia jatkossa.