Как прошить Samsung одной картинкой через Zero-click атаку 🎹 Тут исследователи из Unit 42 запилили разбор нового Android шпиона LANDFALL, который почти год эксплуатировал 0-day уязвимость CVE-2025-21042 в библиотеке обработки изображений libimagecodec.quram.so на устройствах Samsung. - Что будет, если я открою эту картинку? - Ничего. Все уже случилось в тот момент, когда ты ее получил. Вся цепочка начинается со специально сформированного и отправленного DNG-файла (raw-формат на базе TIFF). В конец этого файла просто приклеен ZIP-архив. Уязвимость в библиотеке libimagecodec позволяет извлечь из этого архива два исполняемых файла формата ELF (b.so загрузчик) и l.so манипулятор политик SELinux). Основной компонент, b.so (64-битная разделяемая библиотека) сразу после загрузки проверяет переменные окружения на предмет LD_PRELOAD, чтобы избежать наследования, определяет свои права (root или нет) и начинает действовать. Он читает из себя зашифрованный JSON-конфиг с адресами командных серверов, ключами и идентификаторами, а затем соединяется с серверами управления. Если запущен от root, он пытается смонтировать tmpfs в своей рабочей директории, чтобы все артефакты жили в оперативной памяти. Теперь понятно, почему параноики отключают автозагрузку медиа. Они не трафик экономят, они от RCE через libjpeg защищаются. Общение с командным сервером идет по HTTPS на нестандартный порт. Первичный POST-запрос содержит детальный отпечаток устройства и самого зловреда. В ответ сервер присылает следующий этап в виде сжатого XZ-архива. Загрузчик распаковывает его в файл dec_a.so и выполняет, используя механизм LD_PRELOAD и запускет системную утилиту /system/bin/id (классика 🎩). Это позволяет внедрить зловред в новый процесс. Второй компонент, l.so, (движок для манипуляции политиками SELinux) он не содержит жестко прописанных правил, а умеет на лету парсить и загружать новые политики из внешнего источника, изменяя их прямо в памяти. Это дает зловреду возможность обходить системные ограничения безопасности и обеспечивать себе постоянное присутствие в системе. В коде найдены еще прикольные функции. Там есть код для мониторинга директории, поиска последних сделанных фото в DCIM, обхода фреймворков для отладки и реверс-инжиниринга, etc. Теперь, когда у очередного топ-менеджера утекут данные, он будет клясться, что ничего не нажимал. И впервые будет говорить правду 😬 Типичный 🥸 Сисадмин