Атаката Pixnapping, която определя съдържанието на екрана за прихващане на 2FA кодове в Android

Група изследователи от четири американски университета разработи техника за атака Pixnapping (CVE-2025-48561), която позволява на непривилегировани Android приложения, които не изискват допълнителни права, да определят съдържанието, изведено на екрана от други приложения. Като пример за практическото приложение на атаката е демонстрирано как могат да се идентифицират кодовете за двуфакторна автентикация, показвани от приложението Google Authenticator. Също така е показано как може да се приложи атаката за извличане на конфиденциални данни, изведени на екрана при работа с Gmail, Signal, Venmo и Google Maps.

За определяне на съдържанието на екрана е използван метод на покадров анализ, реализиран през 2023 година от същия екип изследователи в атака по странични канали GPU.zip и за първи път описан още през 2013 година. Същността на метода е, че поради оптимизациите в GPU, изрисуването на пиксел с цвят, който повтаря вече изведен на екрана цвят, се изпълнява по-бързо, отколкото на пиксел с различен цвят. Оценявайки разликата във времето за изрисуване на пикселите, може да се възстанови вече съществуващото на екрана съдържание и да се формира подобие на скрийншот.

Атаката Pixnapping се състои в извикване на целевото приложение, излъчване на свое собствено прозорче отгоре и покадрово преминаване през съдържанието с анализ на времето за изпълнение на графичните операции върху всеки пиксел. Такова преминаване позволява с висока вероятност да се определи кои пиксели имат бял цвят на фона и кои участват в показването на символи. За да се маскират манипулациите с пикселите от потребителя, се налагат слоеве с маски — по време на атаката визуално на екрана продължава да се показва съдържанието на прозореца на приложението, от което се извършва атаката.

За активиране на атакуваното приложение и попадането на пиксели от неговото прозорче в конвейера на изрисуване, се извършва превключване между Android активности чрез intent заявки. Върху прозорец на атакуваното приложение се показват полупрозрачни прозорци, подчертаващи отделни пиксели и иницииращи изпълнение на графични операции с тях чрез API Window Blurs. За измерване на точното време за изрисуване на пиксел се прилагат callback повиквания, свързани с VSync.

Ограничението на предишния метод GPU.zip беше ниската производителност — при атака на браузъра определянето на името, под което потребителят е влязъл в Wikipedia в друга вкладка, отнемаше 30 минути на GPU AMD Ryzen 7 4800U и 215 минути на GPU Intel i7-8700 при точност 97-98%. За да се вмести в 30-секундния интервал за обновяване на кодовете в Google Authenticator, методът беше усъвършенстван и оптимизиран. Броят проверки на всеки пиксел беше намален от 64 на 16, а закъснението между обработката на пикселите беше намалено от 1.5 секунди на 70 милисекунди. Сканироването се извършваше не на целия екран, а само на областта, в която Google Authenticator показва кода.

Методът беше тестван на смартфони Pixel 6, 7, 8 и 9 с версии на Android 13-16 за определяне на 106-значни кода за двуфакторна автентикация, генерирани в Google Authenticator. Точността на определянето на кодовете на посочените смартфони беше 73%, 53%, 29% и 53%, а времето за определяне — 14.3, 25.8, 24.9 и 25.3 секунди, съответно. На смартфона Samsung Galaxy S25 изследователите не успяха да се вместят в 30-секундния интервал заради шум, предизвикан от работата на други приложения, но на устройството бяха показани варианти на нападение на други приложения, за които нямаше ограничения по време. Използваните в атаката механизми не са специфични за отделни модели смартфони и атаката потенциално засяга всички Android устройства.

Компанията Google в септемврийските пачове на уязвимости добави в Android начална защита от атака, основана на забраната за прилагане на операция размазване към голям брой слоеве. В отговор на това изследователите откриха начин да заобиколят това ограничение, затова Google планира да реализира по-пълна защита в декемврийското обновление на Android. Производителите на GPU все още не са обявили намерение да отстранят канала за изтичане, въпреки че методът на атака е известен вече повече от 12 години.

Източник: opennet.ru