Pixnapping rünnak, mis määrab ekraani sisu 2FA-koodide püüdmise jaoks Androidis

Rühm teadlasi neljast Ameerika ülikoolist on välja töötanud Pixnapping ründehnika (CVE-2025-48561), mis võimaldab vähem privileege omavatest Android-rakendustest, mis ei küsi täiendavaid õigusi, määrata teiste rakenduste ekraanile kuvatu sisu. Rünnaku praktilise rakenduse näitena on demonstreeritud Google Authenticator'i rakenduse näol kahefaktorilise autentimise koode. Samuti on näidatud, kuidas on võimalik rünnakut kasutada konfidentsiaalsete andmete väljavõtmiseks, mis kuvatakse ekraanil Gmaili, Signali, Venmo ja Google Mapsi kasutamisel.

Ekraani sisu määramiseks kasutatakse pikseli analüüsi meetodit, mille rakendas sama teadlaste rühm 2023. aastal kõrvaliste GPU-kanalite rünnakus ja mis on esmakordselt kirjeldatud juba 2013. aastal. Meetodi olemus seisneb selles, et GPU optimeerimiste tõttu toimub pikseli, mille värv kordab juba ekraanil olevat värvi, joonistamine kiiremini kui teist värvi pikseli oma. Hindades erinevust ajas pikselite joonistamisel, on võimalik taastada ekraanil juba olev sisu ja luua sarnane ekraanipilt.

Pixnapping rünnak seisneb sihtrakenduse käivitamises, enda akna kuvamises selle peale ja pikselite järkjärgulises otsimises, analüüsides iga pikseli graafiliste operatsioonide täitmise aega. Sellega on suure tõenäosusega võimalik määrata, millised pikslid on valge taustaga ja millised osalevad sümbolite kuvamises. Kasutaja silme eest pikslite manipuleerimise peitmiseks teostatakse kihtide kattumist maskidega — rünnaku ajal jätkub ekraanil sihtrakenduse akna sisu kuvamine.

Rünnaku all oleva rakenduse aktiveerimiseks ja rakenduse aknast pärit pikslite edasiviimiseks joonistamise toru toimub vahetus Androidi tegevuste vahel intent-kutsede kaudu. Rünnaku all oleva rakenduse akna kohal kuvatakse poolläbipaistvad aknad, mis rõhutavad üksikuid pikslit ja käivitavad nende kohal graafilisi operatsioone Window Blurs API abil. Pikselite joonistamise täpse aja mõõtmiseks kasutatakse callback-kutsesid, mis on seotud VSynciga.

Eelmise GPU.zip meetodi piiranguks oli madal jõudlus – brauserirünnaku käigus nõudis Wikipedia'ga teise vahekaartide kaudu sisse logitud kasutaja nime määramine 30 minutit AMD Ryzen 7 4800U GPU-l ja 215 minutit Intel i7-8700 GPU-l, täpsusega 97-98%. Google Authenticatori koodide uuendamise 30-sekundilise intervalli saavutamiseks on meetod täiustatud ja optimeeritud. Iga pikseli kontrollide arvu vähendati 64-lt 16-le ning pikselite töötlemise vaheajad lühendati 1,5 sekundilt 70 millisekundile. Skaneerimine toimus mitte kogu ekraani, vaid ainult ala peal, kus Google Authenticator kuvab koodi.

Meetodit testiti Pixel 6, 7, 8 ja 9 nutitelefonidel koos Android 13-16 versioonidega, et tuvastada 106-kuulmeline kahe faktorilise autentimise kood, mis on genereeritud Google Authenticatoris. Kodide tuvastamise täpsus vastavalt nutitelefonidele oli 73%, 53%, 29% ja 53%, samas kui tuvastamise aeg oli vastavalt 14,3, 25,8, 24,9 ja 25,3 sekundit. Samsung Galaxy S25 nutitelefonil ei suudetud 30-sekundilist intervalli saavutada, kuna teiste rakenduste töö põhjustas müra, kuid seadmel näidati rünnakute variatioone teistele rakendustele, millele ajapiiranguid ei olnud. Rünnakus kasutatud mehhanismid ei ole spetsiifilised konkreetsetele nutitelefoni mudelitele ja potentsiaalselt mõjutavad need kõiki Android-seadmeid.

Google on septembrikuiste haavatavuste plaastrites lisanud Androidile algse kaitse rünnaku, mis põhineb hägustamisoperatsiooni kohaldamise keelt suure arvu kihtide suhtes. Vastuseks leidsid uurijad võimaluse selle piirangu üle minna, seetõttu kavatseb Google detsembrikuises Androidi uuenduses rakendada täielikumat kaitset. GPU tootjad ei ole seni avaldanud kavatsusi väljalaske kanali kõrvaldamiseks, hoolimata sellest, et rünnaku meetod on juba üle 12 aasta tuntud.

Allikas: opennet.ru