{"id":145046,"date":"2025-10-14T11:12:25","date_gmt":"2025-10-14T09:12:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-pixnapping-opredelyayushhaya-soderzhimoe-ekrana-dlya-perehvata-2fa-kodov-v-android"},"modified":"2025-10-14T11:12:25","modified_gmt":"2025-10-14T09:12:26","slug":"ataka-pixnapping-opredelyayushhaya-soderzhimoe-ekrana-dlya-perehvata-2fa-kodov-v-android","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/ataka-pixnapping-opredelyayushhaya-soderzhimoe-ekrana-dlya-perehvata-2fa-kodov-v-android","title":{"rendered":"Pixnapping-aanval, die de scherminhoud bepaalt voor het onderscheppen van 2FA-codes in Android.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Een groep onderzoekers van vier Amerikaanse universiteiten heeft een aanvalltechniek ontwikkeld, Pixnapping (CVE-2025-48561), waarmee de inhoud die door andere applicaties op het scherm wordt weergegeven, kan worden bepaald vanuit niet-privilegeerde Android-applicaties die geen aanvullende machtigingen aanvragen. Als voorbeeld van de praktische toepassing van de aanval werd de identificatie van de codes voor twee-factor-authenticatie gedemonstreerd, die door de Google Authenticator-app worden weergegeven. Ook werd getoond hoe de aanval kan worden gebruikt om vertrouwelijke gegevens te extraheren die op het scherm worden weergegeven tijdens het gebruik van Gmail, Signal, Venmo en Google Maps. <\/p>\n

Voor het bepalen van de inhoud van het scherm is een methode voor pixel-analyse ingezet, die in 2023 door hetzelfde team van onderzoekers is uitgevoerd in de aanval via externe GPU-kanalen.zip en voor het eerst in 2013 werd beschreven. De essentie van de methode is dat door de optimalisaties die in de GPU aanwezig zijn, de rendering van een pixel met een kleur die al op het scherm is weergegeven, sneller verloopt dan die van een pixel met een andere kleur. Door het tijdsverschil bij het renderen van pixels te evalueren, kan de reeds aanwezige inhoud op het scherm worden gereconstrueerd en een soort screenshot worden gevormd. <\/p>\n

Een Pixnapping-aanval houdt in dat een doelapplicatie wordt aangeroepen, een venster over de applicatie wordt geplaatst en pixel voor pixel de inhoud wordt doorlopen met een analyse van de uitvoertijd van grafische bewerkingen op elke pixel. Deze doorloop maakt het mogelijk om met hoge waarschijnlijkheid te bepalen welke pixels de witte achtergrondkleur hebben en welke betrokken zijn bij de weergave van symbolen. Om de manipulaties van pixels voor de gebruiker te verbergen, worden lagen met maskers over elkaar geplaatst - tijdens de aanval blijft visueel de inhoud van het venster van de doelapplicatie op het scherm zichtbaar. <\/p>\n

Voor het activeren van de aangevallen applicatie en het binnenhalen van pixels uit zijn venster in de renderingpipeline wordt er geschakeld tussen Android-activiteiten met behulp van intent-verzoeken. Bovenop het venster van de aangevallen applicatie worden semi-transparante vensters weergegeven die afzonderlijke pixels benadrukken en de uitvoering van grafische bewerkingen met hen initi\u00ebren via de Window Blurs API. Voor het meten van de exacte renderingtijd van een pixel worden callback-oproepen gebruikt die aan VSync zijn gekoppeld.

\"Pixnapping-aanval,<\/center> <\/p>\n

Een beperking van de eerder voorgestelde methode GPU.zip was de lage prestaties - bij een aanval op de browser kostte het 30 minuten om de naam vast te stellen waaronder de gebruiker in een andere tab was ingelogd op Wikipedia, wat 215 minuten kostte op de GPU Intel i7-8700 met een nauwkeurigheid van 97-98%. Om binnen het 30-secondeninterval voor code-updates in Google Authenticator te blijven, is de methode verbeterd en geoptimaliseerd. Het aantal controles per pixel werd verminderd van 64 naar 16, en de vertraging tussen de verwerking van pixels werd verminderd van 1,5 seconden naar 70 milliseconden. Het scannen vond niet op het gehele scherm plaats, maar alleen in het gebied waarop Google Authenticator de code weergeeft. <\/p>\n

De methode is getest op de smartphones Pixel 6, 7, 8 en 9 met Android-versies 13-16 om 106-cijferige codes voor tweefactorauthenticatie, gegenereerd in Google Authenticator, te identificeren. De nauwkeurigheid van het identificeren van codes op de genoemde smartphones was respectievelijk 73%, 53%, 29% en 53%, en de tijd voor identificatie bedroeg 14,3, 25,8, 24,9 en 25,3 seconden. Op de smartphone Samsung Galaxy S25 slaagden de onderzoekers er niet in om binnen het 30-secondeninterval te blijven vanwege het lawaai veroorzaakt door het functioneren van andere applicaties, maar op het apparaat werden aanvalswijzen op andere applicaties getoond waarvoor geen tijdsbeperkingen golden. De mechanismen die in de aanvallen werden gebruikt, zijn niet specifiek voor bepaalde smartphone-modellen en de aanval kan potentieel elk Android-apparaat be\u00efnvloeden.