تقرير: 5 موديلات من هواتف سامسونج جالكسي تعرضت لبرنامج تجسس في دول عربية

سمحت ثغرة من نوع Zero-day في مكتبة معالجة الصور الخاصة بنظام أندرويد من سامسونج، للمهاجمين بزرع برنامج تجسّس يُعرف باسم LANDFALL على بعض أجهزة سامسونج جالكسي، حسب موقع “فون أرينا“.

تقوم مكتبة معالجة الصور في نظام أندرويد الخاص بسامسونج بفك ترميز الصور ومعالجتها لمجموعة واسعة من الصيغ، بما في ذلك بعض الصيغ الخاصة بسامسونج نفسها.

برنامج LANDFALL أثّر على بعض هواتف سامسونج

المشكلة أن برنامج التجسس LANDFALL تم استغلاله فعليا في الهجمات قبل أن تتمكن سامسونج من إصدار تصحيح للثغرة في أبريل الماضي. ومع ذلك، لم يتم الكشف علنا عن هذه الحملة أو تفاصيل البرنامج التجسسي حتى الأسبوع الماضي فقط.

وكان LANDFALL مضمّنا داخل ملفات صور DNG خبيثة أُرسلت عبر تطبيق واتساب. ووفقا لشركة Palo Alto Network، كانت هذه الهجمات قيد التنفيذ في منتصف عام 2024، أي قبل أشهر من صدور التصحيح الأمني.

وفيما يتعلق بدور واتساب في نقل ملفات الاستغلال، فقد نفت شركة ميتا (المالكة لواتساب) هذه الادعاءات، بحسب تقرير لمجلة فوربس، مؤكدة أنها لم تجد أي دليل يدعم تلك المزاعم.

الثغرة لم تعد نشطة منذ أبريل.. لكن أخرى ظهرت لاحقا

ولم يعد LANDFALL يشكل تهديدا منذ أبريل الماضي، إلا أن سامسونج أغلقت قبل شهرين فقط (في سبتمبر 2025) ثغرة جديدة مشابهة (CVE-2025-21043) تم اكتشافها أيضا في مكتبة معالجة الصور. وقد منع هذا التحديث الأمني أي استغلال جديد محتمل.

برنامج التجسس استخدم الميكروفون والموقع والصور للمراقبة

قال إيتاي كوهين، الباحث الرئيسي في وحدة Unit 42 التابعة لشركة Palo Alto، إن الهجمات التي استخدمت LANDFALL كانت موجهة لأفراد محددين وليست حملة واسعة النطاق، مضيفا أن الهدف منها كان التجسس.

تم تصميم البرنامج خصيصا لاستهداف هواتف سامسونج جالكسي، خصوصا في الشرق الأوسط، بما في ذلك تركيا وإيران والعراق والمغرب.

وبطبيعة الحال، استخدم البرنامج أساليب مثل تسجيل الصوت عبر الميكروفون، وتحديد الموقع الجغرافي، وجمع الصور وجهات الاتصال.

استغل المهاجمون ملفات صور تالفة عمدا (malformed images) تم تصميمها لتحفيز الثغرة في نظام قراءة الصور، دون الحاجة إلى أي نقر من المستخدم.

فمجرد استلام الصورة على هاتف جالكسي مستهدف، كان الجهاز يخترق تلقائيا، وبمجرد فتح الصورة أو معاينتها، أصبح بإمكان المهاجمين:

• تسجيل الصوت والمكالمات.

• تتبّع الموقع الجغرافي لحظة بلحظة.

• الوصول إلى الصور والرسائل وجهات الاتصال وسجل المكالمات وسجل التصفح.

• التخفي عن برامج الحماية والاستمرار في العمل حتى بعد إعادة التشغيل.

الأجهزة الأكثر استهدافا

تشير التقارير إلى أن أكثر الهواتف التي تعرضت للهجمات هي Galaxy S22 وGalaxy S23 وGalaxy S24، إضافة إلى Z Fold 4 وZ Flip 4، بينما سلسلة Galaxy S25 لم تكن ضمن المستهدفة.

فترة الخطر استمرت 10 أشهر

دامت فترة الخطر حوالي 10 أشهر، من يوليو 2024 إلى أبريل 2025، حينما كانت تلك الأجهزة في ذروة ضعفها الأمني. وعند إصدار التصحيح الأمني في أبريل، لم تُصدر سامسونج أي بيان رسمي حول الثغرة أو حملة الاستغلال.

توصيات الخبراء

ينصح خبراء الأمن جميع مستخدمي هواتف Samsung Galaxy العاملة بنظام أندرويد 13 حتى أندرويد 15 بالتأكد من تثبيت تحديث الأمان لشهر أبريل 2025 أو أي تحديث أحدث، لضمان الحماية من هذه الثغرة.

كما يُفضل تعطيل التحميل التلقائي للوسائط في تطبيقات المراسلة مثل واتساب وتيليجرام، وتفعيل وضع الحماية المتقدمة (Advanced Protection) في أندرويد أو وضع القفل (Lockdown Mode) في iOS، خصوصا لمن يعتبرون من المستخدمين ذوي المخاطر العالية.