En grupp forskare frÄn fyra amerikanska universitet har utvecklat en attackteknik kallad Pixnapping (CVE-2025-48561), som möjliggör för oprivilegierade Android-appar att identifiera innehÄllet som visas pÄ skÀrmen av andra appar utan att begÀra ytterligare behörigheter. Som ett exempel pÄ praktisk anvÀndning av attacken demonstrerades hur man identifierar koder för tvÄfaktorsautentisering som visas av Google Authenticator-appar. Det visades ocksÄ hur attacken kan anvÀndas för att extrahera konfidentiell information som visas pÄ skÀrmen nÀr man anvÀnder Gmail, Signal, Venmo och Google Maps.
För att bestÀmma innehÄllet pÄ skÀrmen anvÀnds en metod för pixelanalys, som genomfördes 2023 av samma forskarteam i attacken via GPU.zip och beskrevs första gÄngen 2013. Metoden gÄr ut pÄ att pÄ grund av optimeringar som finns i GPU:n, sÄ renderas en pixel med en fÀrg som redan har visats pÄ skÀrmen snabbare Àn en pixel med en annan fÀrg. Genom att bedöma tidsdifferensen i rendering av pixlar kan man Äterskapa innehÄllet som redan finns pÄ skÀrmen och skapa en liknelse till en skÀrmdump.
Pixnapping-attacken innebÀr att det mÄlinriktade programmet anropas, ett fönster lÀggs ovanpÄ det och en pixel-för-pixel genomgÄng av innehÄllet genomförs med analys av tiden för grafiska operationer för varje pixel. En sÄdan genomgÄng gör det möjligt att med hög sannolikhet identifiera vilka pixlar som har vit bakgrundsfÀrg och vilka som anvÀnds för att visa tecken. För att dölja manipulationerna av pixlar för anvÀndaren anvÀnds lager med masker - under attacken visas det visuellt fortfarande innehÄllet frÄn det angripna programmets fönster.
För att aktivera den angripna applikationen och fĂ„ pixlar frĂ„n dess fönster in i renderingspipeline, utförs det en vĂ€xling mellan Android-aktiviteter genom intent-förfrĂ„gningar. Ăver fönstret av den angripna applikationen visas halvtransparenta fönster som markerar enskilda pixlar och initierar utförandet av grafiska operationer med hjĂ€lp av API:et Window Blurs. För att mĂ€ta den exakta tiden för rendering av en pixel anvĂ€nds callback-anrop kopplade till VSync.
En begrĂ€nsning av den tidigare föreslagna metoden GPU.zip var den lĂ„ga prestandan â vid en attack mot webblĂ€saren tog det 30 minuter att identifiera namnet som anvĂ€ndaren loggade in pĂ„ Wikipedia under en annan flik med en GPU AMD Ryzen 7 4800U och 215 minuter med en GPU Intel i7-8700 vid en noggrannhet pĂ„ 97-98%. För att klara 30-sekundersintervallet för koduppdateringar i Google Authenticator förbĂ€ttrades och optimerades metoden. Antalet kontroller av varje pixel minskades frĂ„n 64 till 16 och fördröjningen mellan pixelbehandling minskades frĂ„n 1,5 sekunder till 70 millisekunder. Skanningen utfördes inte pĂ„ hela skĂ€rmen utan endast pĂ„ omrĂ„det dĂ€r Google Authenticator visar koden.
Metoden testades pÄ smartphones Pixel 6, 7, 8 och 9 med versioner av Android 13-16 för att identifiera de 106-siffriga koderna för tvÄfaktorsautentisering, genererade i Google Authenticator. Noggrannheten för kodidentifiering pÄ de angivna smartphones var 73%, 53%, 29% och 53%, och identifieringstiden var 14,3, 25,8, 24,9 och 25,3 sekunder, respektive. PÄ Samsung Galaxy S25 kunde forskarna inte hÄlla sig inom 30-sekundersintervallet pÄ grund av störningar frÄn andra applikationers funktion, men en attack mot andra applikationer som inte hade tidsbegrÀnsningar visades pÄ enheten. De mekanismer som anvÀndes vid attacken Àr inte specifika för enskilda smartphone-modeller och attacken kan potentiellt pÄverka alla Android-enheter.
Företaget Google lade i septemberuppdateringen av sÄrbarheter till Android en grundlÀggande skydd mot attacken, baserat pÄ förbudet mot att anvÀnda oskÀrpaoperationen pÄ ett stort antal lager. Som svar fann forskare en möjlighet att kringgÄ denna begrÀnsning, vilket gör att Google planerar att implementera ett mer omfattande skydd i decemberuppdateringen av Android. GPU-tillverkare har Àn sÄ lÀnge inte meddelat nÄgon avsikt att ÄtgÀrda lÀckagekanalen, trots att attackmetoden har varit kÀnd i mer Àn 12 Är.
KĂ€lla: opennet.ru
