Durante meses, un grupo de ciberdelincuentes llevó a cabo una de las campañas de espionaje más sofisticadas de los últimos tiempos. Su objetivo: usuarios de teléfonos Samsung Galaxy de gama alta. Su arma: simples imágenes. Lo que parecía un archivo fotográfico inofensivo escondía un software espía capaz de infiltrarse en los dispositivos sin que la víctima tuviera que hacer nada. Ni abrir el archivo. Ni pulsar un enlace. Ni siquiera tocar la pantalla.
El espionaje fue tan silencioso que muchos afectados probablemente nunca supieron que habían sido vigilados. La operación fue bautizada como Landfall por los investigadores de Unit 42, el equipo de inteligencia de amenazas de Palo Alto Networks, que descubrió y documentó el ataque tras meses de análisis forense.
Un espionaje sin clics
Landfall representa una nueva era en la ciberdelincuencia móvil. Según el informe de Unit 42, los atacantes aprovecharon una vulnerabilidad en la forma en que los teléfonos Samsung procesan las imágenes. En concreto, usaron archivos DNG, un formato basado en TIFF que normalmente se utiliza para conservar la máxima calidad en fotografías digitales.
Pero estas imágenes no eran normales. Los ciberdelincuentes las habían alterado para incluir en su interior un archivo comprimido que contenía librerías maliciosas. En cuanto el teléfono intentaba mostrar la imagen —aunque fuera solo en una vista previa o una miniatura—, el sistema operativo ejecutaba automáticamente el código oculto.
Es decir: el usuario no tenía que abrir el archivo ni interactuar con él. Bastaba con que la imagen llegara al dispositivo, por ejemplo, a través de una app de mensajería o correo electrónico. En cuestión de segundos, el móvil quedaba comprometido.
Cómo funcionaba Landfall
Una vez instalado, el spyware modificaba políticas internas del sistema (SELinux) para otorgarse permisos ampliados y moverse libremente por el dispositivo. De ese modo, podía acceder a datos privados, saltarse las protecciones del sistema y espiar sin restricciones.
Landfall era capaz de recopilar prácticamente todo:
-
Identificadores del dispositivo y modelo.
-
Listado de aplicaciones instaladas.
-
Contactos y archivos personales.
-
Historial del navegador y metadatos de ubicación.
Y lo más inquietante: los ciberdelincuentes podían activar la cámara y el micrófono de forma remota, grabando lo que ocurría alrededor del teléfono sin que el usuario lo notara.
Según los registros analizados, el espionaje afectó a modelos Galaxy S22, S23, S24 y los plegables Z Flip 4 y Z Fold 4, lo que abarca gran parte de la gama alta de Samsung de los últimos años.
Una campaña dirigida
No se trataba de un ataque masivo, sino muy selectivo. Los investigadores encontraron rastros de la operación en Irak, Irán, Turquía y Marruecos, lo que sugiere que los ciberdelincuentes buscaban objetivos concretos. Tal vez funcionarios, periodistas, empresarios o activistas.
Esa precisión es un detalle importante. Las campañas de espionaje tan acotadas suelen estar vinculadas a la industria del ciberespionaje comercial, un sector opaco pero multimillonario en el que empresas privadas desarrollan software de vigilancia y lo venden a gobiernos o agencias de inteligencia.
Unit 42 fue prudente al hablar de atribución, pero detectó similitudes técnicas entre Landfall y herramientas conocidas fabricadas por compañías como NSO Group o Variston, especializadas en la venta de software espía. El estilo del código, los patrones de los servidores y las medidas de evasión recuerdan a productos de ese tipo.
En otras palabras, no parece obra de aficionados. Landfall fue diseñado con precisión, recursos y experiencia profesional.
El parche que llegó tarde
Samsung corrigió la vulnerabilidad —identificada como CVE-2025-21042— en su actualización de seguridad de abril de 2025. El problema es que el fallo llevaba activo al menos desde el año anterior. Durante todo ese tiempo, los ciberdelincuentes pudieron operar sin obstáculos.
La compañía confirmó que el parche solucionaba el problema en dispositivos con Android 13, 14 y 15, pero los investigadores advierten que eliminar Landfall no es tan simple. Al modificar configuraciones profundas del sistema, el malware puede sobrevivir a actualizaciones o reactivarse si el dispositivo no se restaura por completo.
Para quienes no han instalado la actualización, el riesgo continúa: el exploit ya es público, y otros grupos podrían reutilizarlo con fines distintos.
