Nj\u00eb grup studiuesish nga kat\u00ebr universitete amerikane ka zhvilluar teknik\u00ebn e sulmit Pixnapping (CVE-2025-48561), e cila u lejon aplikacioneve Android pa privilegje, q\u00eb nuk k\u00ebrkojn\u00eb leje shtes\u00eb, t\u00eb p\u00ebrcaktojn\u00eb p\u00ebrmbajtjen e shfaqur n\u00eb ekran nga aplikacione t\u00eb tjera. Si shembull praktik i p\u00ebrdorimit t\u00eb sulmit, u demonstrua identifikimi i kodeve t\u00eb autentikimit me dy faktor\u00eb q\u00eb shfaqen nga aplikacioni Google Authenticator. Gjithashtu u tregua se si sulmi mund t\u00eb p\u00ebrdoret p\u00ebr t\u00eb nxjerr\u00eb t\u00eb dh\u00ebna konfidenciale q\u00eb shfaqen n\u00eb ekran gjat\u00eb pun\u00ebs me Gmail, Signal, Venmo dhe Google Maps. <\/p>\n
P\u00ebr t\u00eb p\u00ebrcaktuar p\u00ebrmbajtjen e ekranit, \u00ebsht\u00eb p\u00ebrdorur nj\u00eb metod\u00eb analize piksel m\u00eb piksel, e zbatuar n\u00eb vitin 2023 nga e nj\u00ebjta skuad\u00ebr studiuesish n\u00eb sulmin me kanal an\u00ebsor GPU.zip dhe e p\u00ebrshkruar fillimisht q\u00eb n\u00eb vitin 2013. Thelbi i metod\u00ebs \u00ebsht\u00eb se, p\u00ebr shkak t\u00eb optimizimeve t\u00eb pranishme n\u00eb GPU, vizatimi i nj\u00eb pikseli me ngjyr\u00eb q\u00eb p\u00ebrputhet me ngjyr\u00ebn tashm\u00eb t\u00eb shfaqur n\u00eb ekran kryhet m\u00eb shpejt sesa vizatimi i nj\u00eb pikseli me ngjyr\u00eb tjet\u00ebr. Duke vler\u00ebsuar ndryshimin n\u00eb koh\u00eb gjat\u00eb vizatimit t\u00eb piksel\u00ebve, mund t\u00eb rind\u00ebrtohet p\u00ebrmbajtja q\u00eb ndodhet tashm\u00eb n\u00eb ekran dhe t\u00eb krijohet nj\u00eb lloj pamjeje ekrani. <\/p>\n
Sulmi Pixnapping konsiston n\u00eb thirrjen e aplikacionit t\u00eb synuar, shfaqjen e nj\u00eb dritareje mbi t\u00eb dhe b\u00ebj kartelizimin e p\u00ebrmbajtjes pik\u00eb p\u00ebr pik\u00eb me analiz\u00ebn e koh\u00ebs s\u00eb ekzekutimit t\u00eb operacioneve grafike mbi secil\u00ebn piksel. Nj\u00eb kartelizim i till\u00eb lejon p\u00ebrcaktimin me nj\u00eb probabilitet t\u00eb lart\u00eb se cilat piksel kan\u00eb ngjyr\u00eb t\u00eb bardh\u00eb n\u00eb sfond dhe cilat marrin pjes\u00eb n\u00eb shfaqjen e simboleve. P\u00ebr t\u00eb fshehur manipulimet me piksel\u00ebt nga p\u00ebrdoruesi, p\u00ebrdoren mbivendosje t\u00eb kat\u00ebr tabakave me maska \u2014 gjat\u00eb sulmit, p\u00ebrmbajtja e dritares s\u00eb aplikacionit, nga e cila kryhet sulmi, vazhdon t\u00eb shfaqet vizualisht n\u00eb ekran. <\/p>\n
P\u00ebr t\u00eb aktivizuar aplikacionin e sulmuar dhe p\u00ebr t\u00eb futur piksel\u00ebt nga dritarja e tij n\u00eb pipeline-in e vizatimit, kryhet kalimi mes aktiviteteve Android me ndihm\u00ebn e k\u00ebrkesave intent. Mbi dritaren e aplikacionit t\u00eb sulmuar shfaqen dritare gjysm\u00ebtransparente q\u00eb izolojn\u00eb piksel\u00eb t\u00eb ve\u00e7ant\u00eb dhe nisin ekzekutimin e operacioneve grafike mbi ta me ndihm\u00ebn e API Window Blurs. P\u00ebr matjen e sakt\u00eb t\u00eb koh\u00ebs s\u00eb vizatimit t\u00eb pikselit p\u00ebrdoren thirrje callback t\u00eb lidhura me VSync.
<\/center> <\/p>\n
Kufizimi i metod\u00ebs s\u00eb propozuar m\u00eb par\u00eb GPU.zip ishte performanca e ul\u00ebt \u2014 gjat\u00eb sulmit n\u00eb shfletuesi, p\u00ebrcaktimi i emrit me t\u00eb cilin p\u00ebrdoruesi ky\u00e7ej n\u00eb Wikipedia n\u00eb nj\u00eb sked\u00eb tjet\u00ebr k\u00ebrkonte 30 minuta me GPU AMD Ryzen 7 4800U dhe 215 minuta me GPU Intel i7-8700 me sakt\u00ebsi 97-98%. P\u00ebr t\u00eb p\u00ebrmbushur intervalin 30-sekond\u00ebsh t\u00eb p\u00ebrdit\u00ebsimit t\u00eb kodit n\u00eb Google Authenticator, metoda u p\u00ebrmir\u00ebsua dhe u optimizua. Numri i kontrolleve p\u00ebr secil\u00ebn piksel u reduktua nga 64 n\u00eb 16, dhe vonesa midis p\u00ebrpunimeve t\u00eb piksel\u00ebve u zvog\u00eblua nga 1.5 sekonda n\u00eb 70 milisekonda. Skaning u b\u00eb jo p\u00ebr t\u00eb gjith\u00eb ekranin, por vet\u00ebm p\u00ebr zon\u00ebn n\u00eb t\u00eb cil\u00ebn Google Authenticator shfaq kodin. <\/p>\n
Metoda u provua n\u00eb smartfon\u00ebt Pixel 6, 7, 8 dhe 9 meVersionet Android 13-16 p\u00ebr p\u00ebrcaktimin e gjasht\u00eb kodave prej gjasht\u00eb numrash p\u00ebr verifikimin me dy faktor\u00eb, t\u00eb gjeneruara n\u00eb Google Authenticator. Sakt\u00ebsia e p\u00ebrcaktimit t\u00eb kodave n\u00eb smartfon\u00ebt e sh\u00ebnuar ishte 73%, 53%, 29% dhe 53%, nd\u00ebrsa koha e p\u00ebrcaktimit ishte 14.3, 25.8, 24.9 dhe 25.3 sekonda, respektivisht. N\u00eb smartfonin Samsung Galaxy S25, hulumtuesit nuk arrit\u00ebn t\u00eb p\u00ebrmbushnin intervalin 30-sekond\u00ebsh p\u00ebr shkak t\u00eb zhurm\u00ebs s\u00eb shkaktuar nga funksionimi i aplikacioneve t\u00eb tjera, por n\u00eb pajisje u treguan opsione sulmi p\u00ebr aplikacione t\u00eb tjera, p\u00ebr t\u00eb cilat nuk kishte kufizime t\u00eb koh\u00ebs. Mekanizmat e p\u00ebrdorur n\u00eb sulm nuk jan\u00eb specifik\u00eb p\u00ebr modelet e ve\u00e7anta t\u00eb smartfon\u00ebve dhe sulmi potencialisht prek \u00e7do pajisje Android.
![\"Sulmi](\"\/wp-content\/uploads\/2025\/10\/ae0c5dd63deda1e22c1c2805fc714d3f.png\")
<\/center> <\/p>\n