{"id":145046,"date":"2025-10-14T11:12:25","date_gmt":"2025-10-14T09:12:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-pixnapping-opredelyayushhaya-soderzhimoe-ekrana-dlya-perehvata-2fa-kodov-v-android"},"modified":"2025-10-14T11:12:25","modified_gmt":"2025-10-14T09:12:26","slug":"ataka-pixnapping-opredelyayushhaya-soderzhimoe-ekrana-dlya-perehvata-2fa-kodov-v-android","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ataka-pixnapping-opredelyayushhaya-soderzhimoe-ekrana-dlya-perehvata-2fa-kodov-v-android","title":{"rendered":"Pixnapping-Angriffe, die den Bildschirminhalt zur Abfangung von 2FA-Codes in Android definieren","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Eine Gruppe von Forschern aus vier amerikanischen Universit\u00e4ten hat eine Angriffstechnik namens Pixnapping (CVE-2025-48561) entwickelt, mit der aus unprivilegierten Android-Anwendungen, die keine zus\u00e4tzlichen Berechtigungen anfordern, der Inhalt ermittelt werden kann, der von anderen Anwendungen auf dem Bildschirm angezeigt wird. Als praktisches Beispiel f\u00fcr die Anwendung des Angriffs wurde die Bestimmung der Codes f\u00fcr die Zwei-Faktor-Authentifizierung, die von der Google Authenticator-App angezeigt werden, demonstriert. Es wurde auch gezeigt, wie der Angriff genutzt werden kann, um vertrauliche Daten zu extrahieren, die w\u00e4hrend der Nutzung von Gmail, Signal, Venmo und Google Maps auf dem Bildschirm angezeigt werden. <\/p>\n

Zur Bestimmung des Bildschirminhalts wurde eine Methode der pixelgenauen Analyse verwendet, die 2023 von demselben Forschungsteam in einem Angriff \u00fcber GPU.zip implementiert und erstmals 2013 beschrieben wurde. Das Konzept der Methode besteht darin, dass aufgrund von Optimierungen in der GPU die Darstellung eines Pixels mit einer Farbe, die bereits auf dem Bildschirm angezeigt wird, schneller erfolgt als die Darstellung eines Pixels mit einer anderen Farbe. Durch die Bewertung der zeitlichen Unterschiede bei der Darstellung der Pixel l\u00e4sst sich der bereits auf dem Bildschirm angezeigte Inhalt rekreieren und eine Art Screenshot erstellen. <\/p>\n

Der Pixnapping-Angriff besteht darin, die Zielanwendung aufzurufen, ein eigenes Fenster dar\u00fcber anzuzeigen und den Inhalt pixelgenau zu analysieren, indem die Ausf\u00fchrungszeit grafischer Operationen f\u00fcr jeden Pixel betrachtet wird. Eine solche Analyse erm\u00f6glicht mit hoher Wahrscheinlichkeit die Bestimmung, welche Pixel einen wei\u00dfen Hintergrund haben und welche zur Anzeige von Zeichen beitragen. Um die Pixelmanipulationen vor dem Benutzer zu verbergen, werden Schichten mit Masken \u00fcberlagert \u2013 w\u00e4hrend des Angriffs bleibt der Inhalt des Anwendungsfensters visuell auf dem Bildschirm sichtbar. <\/p>\n

Zur Aktivierung der angegriffenen Anwendung und zum \u00dcbertragen der Pixel aus ihrem Fenster in die Render-Pipeline wird zwischen den Android-Aktivit\u00e4ten durch Intent-Anfragen umgeschaltet. \u00dcber dem Fenster der angegriffenen Anwendung werden halbtransparente Fenster eingeblendet, die einzelne Pixel hervorheben und die Ausf\u00fchrung grafischer Operationen mit ihnen \u00fcber die API Window Blurs initiieren. Zur genauen Messung der Zeit der Pixeldarstellung werden Callback-Aufrufe verwendet, die an VSync gebunden sind.

\"Pixnapping-Angriffe,<\/center> <\/p>\n

Die Einschr\u00e4nkung der zuvor vorgeschlagenen Methode GPU.zip war die niedrige Leistung \u2013 beim Angriff auf den Browser ben\u00f6tigte die Identifizierung des Namens, mit dem der Benutzer in einem anderen Tab bei Wikipedia eingeloggt war, 30 Minuten auf einer AMD Ryzen 7 4800U GPU und 215 Minuten auf einer Intel i7-8700 GPU bei einer Genauigkeit von 97-98%. Um im 30-Sekunden-Intervall zur Aktualisierung der Codes im Google Authenticator zu bleiben, wurde die Methode verbessert und optimiert. Die Anzahl der \u00dcberpr\u00fcfungen jedes Pixels wurde von 64 auf 16 reduziert, und die Verz\u00f6gerung zwischen der Verarbeitung der Pixel wurde von 1,5 Sekunden auf 70 Millisekunden verringert. Der Scan wurde nicht \u00fcber den gesamten Bildschirm, sondern nur \u00fcber den Bereich durchgef\u00fchrt, in dem Google Authenticator den Code anzeigt. <\/p>\n

Die Methode wurde auf den Smartphones Pixel 6, 7, 8 und 9 mit den Versionen Android 13-16 getestet, um die 106-sechsstelligen Codes der Zwei-Faktor-Authentifizierung zu bestimmen, die im Google Authenticator generiert wurden. Die Genauigkeit der Codebestimmung auf den genannten Smartphones betrug 73%, 53%, 29% und 53%, w\u00e4hrend die Zeit der Bestimmung 14,3, 25,8, 24,9 und 25,3 Sekunden betrug. Auf dem Smartphone Samsung Galaxy S25 konnten die Forscher nicht im 30-Sekunden-Intervall bleiben, da St\u00f6rungen durch die Arbeit anderer Anwendungen auftraten, aber auf dem Ger\u00e4t wurden Angriffsm\u00f6glichkeiten auf andere Apps gezeigt, f\u00fcr die es keine Zeitbeschr\u00e4nkungen gab. Die in den Angriffen verwendeten Mechanismen sind nicht spezifisch f\u00fcr bestimmte Smartphone-Modelle, und der Angriff k\u00f6nnte potenziell alle Android-Ger\u00e4te betreffen.