Pixnapping-Angriffe, die den Bildschirminhalt zur Abfangung von 2FA-Codes in Android definieren

Eine Gruppe von Forschern aus vier amerikanischen Universitäten hat eine Angriffstechnik namens Pixnapping (CVE-2025-48561) entwickelt, mit der aus unprivilegierten Android-Anwendungen, die keine zusätzlichen Berechtigungen anfordern, der Inhalt ermittelt werden kann, der von anderen Anwendungen auf dem Bildschirm angezeigt wird. Als praktisches Beispiel für die Anwendung des Angriffs wurde die Bestimmung der Codes für die Zwei-Faktor-Authentifizierung, die von der Google Authenticator-App angezeigt werden, demonstriert. Es wurde auch gezeigt, wie der Angriff genutzt werden kann, um vertrauliche Daten zu extrahieren, die während der Nutzung von Gmail, Signal, Venmo und Google Maps auf dem Bildschirm angezeigt werden.

Zur Bestimmung des Bildschirminhalts wurde eine Methode der pixelgenauen Analyse verwendet, die 2023 von demselben Forschungsteam in einem Angriff über GPU.zip implementiert und erstmals 2013 beschrieben wurde. Das Konzept der Methode besteht darin, dass aufgrund von Optimierungen in der GPU die Darstellung eines Pixels mit einer Farbe, die bereits auf dem Bildschirm angezeigt wird, schneller erfolgt als die Darstellung eines Pixels mit einer anderen Farbe. Durch die Bewertung der zeitlichen Unterschiede bei der Darstellung der Pixel lässt sich der bereits auf dem Bildschirm angezeigte Inhalt rekreieren und eine Art Screenshot erstellen.

Der Pixnapping-Angriff besteht darin, das Zielanwendung aufzurufen, ein eigenes Fenster darüber anzuzeigen und pixelgenau den Inhalt mit einer Analyse der Ausführungszeit grafischer Operationen für jedes Pixel durchzuführen. Eine derartige Untersuchung erlaubt es mit hoher Wahrscheinlichkeit zu bestimmen, welche Pixel weiß sind und welche zur Anzeige von Zeichen verwendet werden. Um die Manipulation der Pixel vor dem Benutzer zu verbergen, werden Schichten mit Masken überlagert – während des Angriffs wird visuell weiterhin der Inhalt des Anwendungsfensters angezeigt, aus dem der Angriff erfolgt.

Zur Aktivierung der angegriffenen Anwendung und zum Übertragen der Pixel aus ihrem Fenster in die Render-Pipeline wird zwischen den Android-Aktivitäten durch Intent-Anfragen umgeschaltet. Über dem Fenster der angegriffenen Anwendung werden halbtransparente Fenster eingeblendet, die einzelne Pixel hervorheben und die Ausführung grafischer Operationen mit ihnen über die API Window Blurs initiieren. Zur genauen Messung der Zeit der Pixeldarstellung werden Callback-Aufrufe verwendet, die an VSync gebunden sind.

Eine Einschränkung des zuvor vorgeschlagenen Verfahrens GPU.zip war die niedrige Leistung – bei einem Angriff auf den Browser dauerte die Bestimmung des Namens, unter dem der Benutzer in einem anderen Tab bei Wikipedia angemeldet war, 30 Minuten auf einer GPU AMD Ryzen 7 4800U und 215 Minuten auf einer GPU Intel i7-8700 bei einer Genauigkeit von 97-98%. Um in den 30-sekündigen Aktualisierungsintervall der Codes in Google Authenticator zu passen, wurde die Methode verbessert und optimiert. Die Anzahl der Überprüfungen jedes Pixels wurde von 64 auf 16 reduziert, und die Verzögerung zwischen der Verarbeitung der Pixel wurde von 1,5 Sekunden auf 70 Millisekunden verringert. Es wurde nicht der gesamte Bildschirm gescannt, sondern nur der Bereich, in dem Google Authenticator den Code anzeigt.

Die Methode wurde auf den Smartphones Pixel 6, 7, 8 und 9 mit den Android-Versionen 13-16 getestet, um 106-stellige Codes für die Zwei-Faktor-Authentifizierung, die in Google Authenticator generiert wurden, zu bestimmen. Die Genauigkeit der Codebestimmung auf den genannten Smartphones betrug 73%, 53%, 29% und 53%, während die Bestimmungszeiten 14,3, 25,8, 24,9 und 25,3 Sekunden betrugen. Auf dem Smartphone Samsung Galaxy S25 gelang es den Forschern nicht, im 30-sekündigen Intervall zu bleiben, aufgrund des Rauschens, das durch die Ausführung anderer Anwendungen verursacht wurde. Es wurden jedoch Angriffsvarianten für andere Anwendungen gezeigt, bei denen es keine zeitlichen Einschränkungen gab. Die in den Angriffen verwendeten Mechanismen sind nicht spezifisch für bestimmte Smartphone-Modelle und der Angriff betrifft potenziell alle Android-Geräte.

Im September-Patch hat Google in Android einen grundlegenden Schutz gegen den Angriff, der auf dem Verbot basiert, eine Unschärfetechnik bei vielen Schichten anzuwenden. Als Antwort fanden die Forscher Wege, diese Einschränkung zu umgehen, weshalb Google plant, einen umfassenderen Schutz im Dezember-Update von Android zu implementieren. Die GPU-Hersteller haben bisher keine Absicht erklärt, den Leckkanal zu schließen, obwohl die Angriffsmethode bereits seit mehr als 12 Jahren bekannt ist.

Quelle: opennet.ru