Pixnapping rünnak, mis tuvastab ekraani sisu 2FA-koodide tabamiseks Androidis

Neljast Ameerika ülikoolist koosnev teadlaste grupp on välja töötanud Pixnapping (CVE-2025-48561) rünnetehnika, mis võimaldab mitteprivilegeeritud Android-rakendustest, mis ei nõua mingeid täiendavaid õigusi, määrata teiste rakenduste ekraanile kuvatud sisu. Rünnaku praktilise rakendamise näitena on demonstreeritud, kuidas määrata Google Authenticator'i rakenduse kaudu kuvatavaid kahefaktorilisi autentimiskoodide. Samuti on näidatud, kuidas rakendada rünnakut konfidentsiaalsete andmete väljavõtmiseks, mis kuvatakse Gmailis, Signal'is, Venmos ja Google Maps'is.

Ekraani sisu määramise meetodiks on 2023. aastal sama teadlaste meeskonna esmakordselt kirjeldatud ja hiljem GPU.zip rünnakus rakendatud pixel-ahela analüüs, mis loodi juba 2013. aastal. Meetodi tuum seisneb selles, et GPU-sse sisseehitatud optimeeringute tõttu on pixel'i joonistamine, mille värv kordab juba ekraanile kuvatud värvi, kiirem kui pixel'i puhul, mille värv on erinev. Hindades pixel'ite joonistamise aja erinevust, on võimalik taastada juba ekraanil olev sisu ja luua sellekohane ekraanipilt.

Pixnapping rünne seisneb sihtrakenduse kutsumises, oma akna kuvamises selle peale ja pixel'ite sisuhäirete analüüsimises graafiliste operatsioonide täitmise ajajaosakeste põhjal. Selline häire võimaldab suure tõenäosusega määrata, millised pixel'id on valge taustavärviga, millised aga osalevad sümbolite kuvamises. Pixel'ite manipuleerimise peitmiseks vabastatakse kihtide kattumise kaudu — rünnaku ajal kuvatakse visuaalselt ekraanil jätkuvalt sihtrakenduse akna sisu.

Sihtrakenduse aktiveerimiseks ja pixel'ite saamiseks oma aknast joonistuskanalisse, toimub Android-aktiviteedia vahel vahetamine intent-päringute kaudu. Sihtrakenduse akna peal kuvatakse poolläbipaistvad aknad, mis jagavad eraldi pixel'id ja käivitavad graafiliste operatsioonide teostamise nende pixel'itega Window Blurs API abil. Pixel'i joonistamise täpset aega mõõdetakse VSync'i tipptunnis seotud callback-kõnede kaudu.

Eelnevalt pakutud GPU.zip meetodi piiranguks oli madal jõudlus — brauseri rünnaku ajal ei suutnud seostada nime, millega kasutaja teises vahelehe Wikipedia'sse sisse logis, AMD Ryzen 7 4800U GPU-l 30 minutit ja Intel i7-8700 GPU-l 215 minutit, täpsuse saavutamisel 97–98%. Google Authenticator'i koodide 30-sekundilise uuenduse ajaraamidesse mahutamiseks on meetod parendatud. Iga pixel'i kontrollide arv on vähendatud 64-lt 16-le ning pixel'ite töötlemise vaheajad on lühendatud 1,5 sekundilt 70 millisekundini. Skaneerimine ei toimunud kogu ekraanil, vaid ainult Google Authenticator'i poolt kuvatud koodi alal.

Meetod testiti Pixel 6, 7, 8 ja 9 nutitelefonidel, millel on Android 13-16, et määrata 106 kuue numbriga kahefaktorilist autentimiskoodi, mis genereeriti Google Authenticator'is. Koodide määramise täpsus nendel nutitelefonidel oli vastavalt 73%, 53%, 29% ja 53%, samas kui määramisaeg oli vastavalt 14,3, 25,8, 24,9 ja 25,3 sekundit. Samsung Galaxy S25 nutitelefonil ei suutnud teadlased 30-sekundilist aega mahutada tulenevalt teiste rakenduste tekitatud mürast, kuid seadmel demonstreeriti teisi rünnakuvõimalusi rakendustele, millele ei kehtinud ajapiiranguid. Rünnaku mehhanismid ei ole spetsiifilised ühegi nutitelefoni mudeli jaoks ning see rünne võib kahjustada kõiki Android-seadmeid.

Google on septembrikuu turvapaikadesse lisanud Androidile algse ründe kaitse, mis põhineb paljude kihtide hägussuse kasutamise piiramisel. Vastuseks leidsid teadlased võimaluse selle piirangu ületamiseks, mistõttu Google kavandab detsembrikuusse Androidi täiendava kaitse rakendamist. GPU tootjad ei ole seni avalikustanud kavatsust lekke kanalit kõrvaldada, kuigi ründe meetod on tuntud juba üle 12 aasta.

Allikas: opennet.ru