Skupina výzkumníků ze čtyř amerických univerzit vyvinula techniku útoku Pixnapping (CVE-2025-48561), která umožňuje z nepprivilegovaných aplikací pro Android, jež nepožadují dodatečná oprávnění, zjistit obsah zobrazovaný jinými aplikacemi na obrazovce. Jako příklad praktického použití útoku bylo demonstrováno získání kódů dvoufaktorové autentizace z aplikace Google Authenticator. Také bylo ukázáno, jak lze útok použít k vytažení citlivých dat, která se zobrazují při práci s Gmail, Signal, Venmo a Google Maps.
K určení obsahu obrazovky byl použit postup analýzy po pixelech, implementovaný v roce 2023 stejným výzkumným týmem v útoku přes postranní kanály GPU.zip a poprvé popsán už v roce 2013. Podstatou metody je, že díky optimalizacím přítomným v GPU se vykreslení pixelu se stejnou barvou, jaká už byla na obrazovce, provádí rychleji než pixelu s jinou barvou. Odhadem rozdílu v čase při vykreslování pixelů je možné obnovit již existující obsah na obrazovce a vytvořit něco podobného snímku obrazovky.
Útok Pixnapping spočívá ve vyvolání cílové aplikace, zobrazení nad ní vlastního okna a pixelovém procházení obsahu s analýzou doby provádění grafických operací nad každým pixelem. Takový průchod umožňuje s vysokou pravděpodobností určit, které pixely mají bílou barvu pozadí a které se podílejí na zobrazování znaků. Aby bylo možné skrýt manipulaci s pixely před uživateli, jsou aplikovány vrstvy s maskami — během útoku se na obrazovce vizuálně i nadále zobrazuje obsah okna aplikace, ze které útok probíhá.
Pro aktivaci cílové aplikace a dostání pixelů z jejího okna do vykreslovacího kanálu se provádí přepínání mezi aktivitami Android pomocí intent-žádostí. Na okně napadené aplikace se zobrazuje poloprůhledná okna, která zvýrazňují jednotlivé pixely a iniciují provádění grafických operací s nimi prostřednictvím API Window Blurs. Pro měření přesného času vykreslování pixelu se používají callbackové výzvy, které jsou svázány s VSync.
Omezením dříve navrhované metody GPU.zip byla nízká výkonnost — při útoku na prohlížeč určení jména, pod kterým uživatel v jiné záložce vstoupil do Wikipedie, trvalo 30 minut na GPU AMD Ryzen 7 4800U a 215 minut na GPU Intel i7-8700 při přesnosti 97-98 %. Aby se dosáhlo 30sekundového intervalu aktualizace kódů v Google Authenticator, metoda byla vylepšena a optimalizována. Počet kontrol každý pixel byl snížen z 64 na 16 a zpoždění mezi zpracováním pixelů bylo zkráceno z 1,5 sekundy na 70 milisekund. Skenování se neprovádělo na celém obrazovce, ale pouze na oblasti, ve které Google Authenticator zobrazuje kód.
Metoda byla vyzkoušena na smartphonech Pixel 6, 7, 8 a 9 s verzemi Android 13-16 pro určení 106místných kódů dvoufaktorové autentizace generovaných v Google Authenticator. Přesnost určení kódů na označených smartphonech byla 73 %, 53 %, 29 % a 53 %, a čas určení — 14,3, 25,8, 24,9 a 25,3 sekundy, v tomto pořadí. Na smartphonu Samsung Galaxy S25 se výzkumníkům nepodařilo splnit 30sekundový interval kvůli šumu způsobenému prací jiných aplikací, ale zařízení ukázalo varianty útoku na jiné aplikace, u kterých nebyla žádná časová omezení. Použité mechanismy útoku nejsou specifické pro jednotlivé modely smartphone a útok potenciálně zahrnuje jakákoliv zařízení Android.
Společnost Google v zářijových opravách zranitelností přidala do Androidu počáteční ochranu proti útoku, založenou na zákazu aplikace operace rozmazání na velké množství vrstev. V reakci na to výzkumníci objevili možnost obejít toto omezení, proto Google plánuje implementovat komplexnější ochranu v prosincové aktualizaci Androidu. Výrobci GPU dosud neoznámili úmysl odstranit kanál úniku, přestože je metoda útoku známa již více než 12 let.
Zdroj: opennet.ru
