Un gruppo di ricercatori provenienti da quattro università americane ha sviluppato una tecnica di attacco chiamata Pixnapping (CVE-2025-48561), che consente di determinare il contenuto visualizzato da altre applicazioni da parte di applicazioni Android non privilegiate, senza richiedere permessi aggiuntivi. A titolo di esempio pratico, è stata dimostrata la possibilità di identificare i codici di autenticazione a due fattori mostrati dall'app Google Authenticator. È stato anche mostrato come la tecnica possa essere utilizzata per estrarre dati confidenziali visualizzati sullo schermo mentre si utilizza Gmail, Signal, Venmo e Google Maps.
Per determinare il contenuto dello schermo, è stato impiegato un metodo di analisi pixel per pixel, implementato nel 2023 dalla stessa squadra di ricercatori nell'attacco tramite canali alternativi GPU.zip e descritto per la prima volta nel 2013. La sostanza del metodo è che, a causa delle ottimizzazioni presenti nella GPU, il rendering di un pixel con un colore che ripete già un colore visualizzato sullo schermo avviene più rapidamente rispetto a un pixel con un colore diverso. Valutando la differenza di tempo nel rendering dei pixel, è possibile ricostruire il contenuto già presente sullo schermo e creare una sorta di screenshot.
L'attacco Pixnapping consiste nel richiamare l'applicazione target, sovrapponendo la propria finestra e eseguendo un'analisi pixel per pixel del contenuto analizzando il tempo di esecuzione delle operazioni grafiche su ogni singolo pixel. Questo approccio permette di determinare con un'alta probabilità quali pixel presentano un colore di sfondo bianco e quali sono coinvolti nella visualizzazione dei caratteri. Per nascondere le manipolazioni dei pixel all'utente, vengono sovrapposti strati con maschere: durante l'attacco, il contenuto della finestra dell'applicazione target continua ad essere visualizzato sullo schermo.
Per attivare l'applicazione target e far confluire i pixel dalla sua finestra nel pipeline di rendering, si effettua uno switch tra le attività Android mediante richieste intent. Sulle finestre dell'applicazione target vengono visualizzate finestre semitrasparenti che evidenziano singoli pixel e avviano operazioni grafiche su di essi tramite l'API Window Blurs. Per misurare il tempo di rendering preciso di un pixel si utilizzano invocazioni callback legate a VSync.
Il limite del metodo GPU proposto in precedenza era la bassa prestazione: nell'attacco al browser, la determinazione del nome con cui l'utente era entrato in Wikipedia in un'altra scheda richiedeva 30 minuti su GPU AMD Ryzen 7 4800U e 215 minuti su GPU Intel i7-8700 con un'accuratezza del 97-98%. Per rientrare nel intervallo di aggiornamento di 30 secondi in Google Authenticator, il metodo è stato migliorato e ottimizzato. Il numero di controlli per ogni pixel è stato ridotto da 64 a 16, e il ritardo tra l'elaborazione dei pixel è stato ridotto da 1,5 secondi a 70 millisecondi. La scansione non è stata effettuata su tutto lo schermo, ma solo nell'area in cui Google Authenticator mostra il codice.
Il metodo è stato testato su smartphone Pixel 6, 7, 8 e 9 con versioni di Android 13-16 per identificare cento codici a sei cifre per l'autenticazione a due fattori generati in Google Authenticator. L'accuratezza nella identificazione dei codici sui suddetti smartphone è stata del 73%, 53%, 29% e 53%, mentre il tempo di identificazione è stato di 14.3, 25.8, 24.9 e 25.3 secondi, rispettivamente. Sugli smartphone Samsung Galaxy S25, i ricercatori non sono riusciti a rimanere entro l'intervallo di 30 secondi a causa del rumore generato dal lavoro di altre applicazioni, ma sul dispositivo sono state mostrate varianti di attacco ad altre applicazioni, per le quali non c'erano limiti di tempo. I meccanismi utilizzati nell'attacco non sono specifici per singoli modelli di smartphone e l'attacco potenzialmente colpisce qualsiasi dispositivo Android.
L'azienda Google ha aggiunto nelle patch di settembre per le vulnerabilità di Android una protezione iniziale contro l'attacco, basata sul divieto di applicare l'operazione di sfocatura a un gran numero di strati. In risposta, i ricercatori hanno trovato un modo per aggirare questa limitazione, motivo per cui Google prevede di implementare una protezione più completa nell'aggiornamento di dicembre di Android. I produttori di GPU non hanno ancora annunciato intenzioni di risolvere il canale di fuga, nonostante il metodo di attacco sia noto da oltre 12 anni.
Fonte: opennet.ru
