{"id":145046,"date":"2025-10-14T11:12:25","date_gmt":"2025-10-14T09:12:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-pixnapping-opredelyayushhaya-soderzhimoe-ekrana-dlya-perehvata-2fa-kodov-v-android"},"modified":"2025-10-14T11:12:25","modified_gmt":"2025-10-14T09:12:26","slug":"ataka-pixnapping-opredelyayushhaya-soderzhimoe-ekrana-dlya-perehvata-2fa-kodov-v-android","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/ataka-pixnapping-opredelyayushhaya-soderzhimoe-ekrana-dlya-perehvata-2fa-kodov-v-android","title":{"rendered":"Pixnapping-Angriff, der den Bildschirminhalt zum Abfangen von 2FA-Codes in Android bestimmt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Eine Gruppe von Forschern aus vier amerikanischen Universit\u00e4ten hat eine Pixnapping-Attacke (CVE-2025-48561) entwickelt, die es erm\u00f6glicht, den Inhalt, der von anderen Anwendungen auf dem Bildschirm angezeigt wird, aus nicht privilegierten Android-Anwendungen zu identifizieren, die keine zus\u00e4tzlichen Berechtigungen anfordern. Als Beispiel f\u00fcr die praktische Anwendung des Angriffs wurde die Bestimmung von Codes f\u00fcr die Zwei-Faktor-Authentifizierung demonstriert, die von der Google Authenticator-Anwendung angezeigt werden. Es wurde auch gezeigt, wie der Angriff zum Extrahieren vertraulicher Daten eingesetzt werden kann, die beim Arbeiten mit Gmail, Signal, Venmo und Google Maps auf dem Bildschirm angezeigt werden. <\/p>\n

Zur Bestimmung des Bildschirminhalts wird eine pixelgenaue Analyse verwendet, die 2023 vom selben Forscherteam im Angriff \u00fcber die GPU.zip beschrieben wurde und erstmals 2013 dokumentiert wurde. Der Kern der Methode besteht darin, dass aufgrund der in der GPU vorhandenen Optimierungen die Darstellung eines Pixels mit einer Farbe, die bereits auf dem Bildschirm angezeigt wird, schneller erfolgt als die eines Pixels mit einer anderen Farbe. Durch die Bewertung der Zeitunterschiede bei der Darstellung von Pixeln kann der bereits vorhandene Bildschirminhalt rekonstruiert und eine Art Screenshot erstellt werden. <\/p>\n

Der Pixnapping-Angriff besteht darin, eine Zielanwendung aufzurufen, ein eigenes Fenster dar\u00fcber anzuzeigen und den Inhalt pixelweise zu scannen, w\u00e4hrend die Ausf\u00fchrungszeiten grafischer Operationen f\u00fcr jeden Pixel analysiert werden. Ein solcher Scan erm\u00f6glicht es mit hoher Wahrscheinlichkeit zu bestimmen, welche Pixel den wei\u00dfen Hintergrund haben und welche zur Anzeige von Zeichen verwendet werden. Um die Manipulationen an den Pixeln vor dem Benutzer zu verbergen, werden Schichten mit Masken \u00fcberlagert \u2013 w\u00e4hrend des Angriffs wird weiterhin der Inhalt des Anwendungsfensters angezeigt, von dem der Angriff ausgef\u00fchrt wird. <\/p>\n

Zur Aktivierung der angegriffenen Anwendung und zum \u00dcbertragen der Pixel aus ihrem Fenster in die Render-Pipeline erfolgt der Wechsel zwischen Android-Aktivit\u00e4ten \u00fcber Intent-Anfragen. \u00dcber dem Fenster der angegriffenen Anwendung werden halbtransparente Fenster angezeigt, die einzelne Pixel hervorheben und die Ausf\u00fchrung grafischer Operationen mit ihnen \u00fcber die API Window Blurs initiieren. Um die genaue Zeit der Pixelanzeige zu messen, werden Callback-Aufrufe verwendet, die an VSync gebunden sind.

\"Pixnapping-Angriff,<\/center> <\/p>\n

Eine Einschr\u00e4nkung der zuvor vorgeschlagenen Methode GPU.zip war die geringe Leistung \u2013 bei einem Angriff auf den Browser ben\u00f6tigte die Identifizierung des Namens, unter dem der Benutzer in einem anderen Tab bei Wikipedia eingeloggt war, 30 Minuten auf der GPU AMD Ryzen 7 4800U und 215 Minuten auf der GPU Intel i7-8700 bei einer Genauigkeit von 97-98 %. Um in den 30-Sekunden-Intervall f\u00fcr die Aktualisierung der Codes in Google Authenticator zu passen, wurde die Methode verbessert und optimiert. Die Anzahl der Pr\u00fcfungen jedes Pixels wurde von 64 auf 16 reduziert, und die Verz\u00f6gerung zwischen der Verarbeitung der Pixel wurde von 1,5 Sekunden auf 70 Millisekunden gesenkt. Der Scan umfasste nicht den gesamten Bildschirm, sondern nur den Bereich, in dem Google Authenticator den Code anzeigt. <\/p>\n

Die Methode wurde auf den Smartphones Pixel 6, 7, 8 und 9 mit den Android-Versionen 13-16 getestet, um 106 sechsstellige Codes f\u00fcr die Zwei-Faktor-Authentifizierung zu ermitteln, die in Google Authenticator generiert wurden. Die Genauigkeit der Codebestimmung auf den genannten Smartphones betrug 73 %, 53 %, 29 % und 53 %, wobei die Erkennungszeiten 14,3, 25,8, 24,9 und 25,3 Sekunden betrugen. Auf dem Smartphone Samsung Galaxy S25 gelang es den Forschern nicht, im 30-Sekunden-Intervall zu bleiben, aufgrund des Rauschens, das durch die Nutzung anderer Anwendungen verursacht wurde. Auf dem Ger\u00e4t wurden jedoch Angriffsm\u00f6glichkeiten auf andere Anwendungen angezeigt, f\u00fcr die keine zeitlichen Beschr\u00e4nkungen bestanden. Die in den Angriffen verwendeten Mechanismen sind nicht spezifisch f\u00fcr bestimmte Smartphone-Modelle und der Angriff kann potenziell alle Android-Ger\u00e4te betreffen.