{"id":145046,"date":"2025-10-14T11:12:25","date_gmt":"2025-10-14T09:12:26","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-pixnapping-opredelyayushhaya-soderzhimoe-ekrana-dlya-perehvata-2fa-kodov-v-android"},"modified":"2025-10-14T11:12:25","modified_gmt":"2025-10-14T09:12:26","slug":"ataka-pixnapping-opredelyayushhaya-soderzhimoe-ekrana-dlya-perehvata-2fa-kodov-v-android","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/ataka-pixnapping-opredelyayushhaya-soderzhimoe-ekrana-dlya-perehvata-2fa-kodov-v-android","title":{"rendered":"The Pixnapping attack identifies screen content to intercept 2FA codes on Android.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

En grupp forskare fr\u00e5n fyra amerikanska universitet har utvecklat en attackteknik kallad Pixnapping (CVE-2025-48561), som m\u00f6jligg\u00f6r f\u00f6r oprivilegierade Android-appar att identifiera inneh\u00e5llet som visas p\u00e5 sk\u00e4rmen av andra appar utan att beg\u00e4ra ytterligare beh\u00f6righeter. Som ett exempel p\u00e5 praktisk anv\u00e4ndning av attacken demonstrerades hur man identifierar koder f\u00f6r tv\u00e5faktorsautentisering som visas av Google Authenticator-appar. Det visades ocks\u00e5 hur attacken kan anv\u00e4ndas f\u00f6r att extrahera konfidentiell information som visas p\u00e5 sk\u00e4rmen n\u00e4r man anv\u00e4nder Gmail, Signal, Venmo och Google Maps. <\/p>\n

F\u00f6r att best\u00e4mma inneh\u00e5llet p\u00e5 sk\u00e4rmen anv\u00e4nds en metod f\u00f6r pixelanalys, som genomf\u00f6rdes 2023 av samma forskarteam i attacken via GPU.zip och beskrevs f\u00f6rsta g\u00e5ngen 2013. Metoden g\u00e5r ut p\u00e5 att p\u00e5 grund av optimeringar som finns i GPU:n, s\u00e5 renderas en pixel med en f\u00e4rg som redan har visats p\u00e5 sk\u00e4rmen snabbare \u00e4n en pixel med en annan f\u00e4rg. Genom att bed\u00f6ma tidsdifferensen i rendering av pixlar kan man \u00e5terskapa inneh\u00e5llet som redan finns p\u00e5 sk\u00e4rmen och skapa en liknelse till en sk\u00e4rmdump. <\/p>\n

Pixnapping-attacken handlar om att anropa den m\u00e5lapp som anv\u00e4nds, \u00f6verlagra sin egen f\u00f6nster p\u00e5 denna och pixel-f\u00f6r-pixel-analysera inneh\u00e5llet genom att analysera exekveringstiden f\u00f6r grafiska operationer p\u00e5 varje pixel. Denna typ av analys g\u00f6r det m\u00f6jligt att med h\u00f6g sannolikhet avg\u00f6ra vilka pixlar som har en vit bakgrund och vilka som anv\u00e4nds f\u00f6r att visa tecken. F\u00f6r att d\u00f6lja manipulation av pixlar f\u00f6r anv\u00e4ndaren \u00f6verlagras lager med masker - under attacken forts\u00e4tter inneh\u00e5llet i det applikationsf\u00f6nster som attacken utf\u00f6rs ifr\u00e5n att visas p\u00e5 sk\u00e4rmen. <\/p>\n

F\u00f6r att aktivera den angripna applikationen och f\u00e5 pixlar fr\u00e5n dess f\u00f6nster in i renderingspipeline, utf\u00f6rs det en v\u00e4xling mellan Android-aktiviteter genom intent-f\u00f6rfr\u00e5gningar. \u00d6ver f\u00f6nstret av den angripna applikationen visas halvtransparenta f\u00f6nster som markerar enskilda pixlar och initierar utf\u00f6randet av grafiska operationer med hj\u00e4lp av API:et Window Blurs. F\u00f6r att m\u00e4ta den exakta tiden f\u00f6r rendering av en pixel anv\u00e4nds callback-anrop kopplade till VSync.

\"The<\/center> <\/p>\n

En begr\u00e4nsning av den tidigare f\u00f6reslagna metoden GPU.zip var den l\u00e5ga prestandan - vid attack mot webbl\u00e4saren kr\u00e4vde identifieringen av namnet under vilket anv\u00e4ndaren loggade in p\u00e5 Wikipedia i en annan flik 30 minuter p\u00e5 GPU AMD Ryzen 7 4800U och 215 minuter p\u00e5 GPU Intel i7-8700 med en noggrannhet p\u00e5 97-98%. F\u00f6r att kunna f\u00e5 det att fungera inom en 30-sekunders uppdateringsintervall av koder i Google Authenticator har metoden f\u00f6rb\u00e4ttrats och optimerats. Antalet kontroller per pixel har minskats fr\u00e5n 64 till 16, och f\u00f6rdr\u00f6jningen mellan pixelbearbetningen har minskats fr\u00e5n 1,5 sekunder till 70 millisekunder. Skanning utf\u00f6rdes inte \u00f6ver hela sk\u00e4rmen utan endast inom det omr\u00e5de d\u00e4r Google Authenticator visar koden. <\/p>\n

Metoden har testats p\u00e5 smartphones Pixel 6, 7, 8 och 9 med Android-versioner 13-16 f\u00f6r att identifiera 106 sexsiffriga koder f\u00f6r tv\u00e5faktorautentisering som genererats i Google Authenticator. Identifieringsnoggrannheten f\u00f6r koderna p\u00e5 de angivna smartphones var 73%, 53%, 29% och 53%, och identifieringstiden var 14,3, 25,8, 24,9 och 25,3 sekunder, respektive. P\u00e5 Samsung Galaxy S25 klarade forskarna inte att h\u00e5lla sig inom 30-sekundersintervallet p\u00e5 grund av bruset fr\u00e5n andra applikationers aktivitet, men en attack p\u00e5 andra applikationer, f\u00f6r vilka det inte fanns n\u00e5gra tidsbegr\u00e4nsningar, visades p\u00e5 enheten. De mekanismer som anv\u00e4nds i attacken \u00e4r inte specifika f\u00f6r enskilda smartphone-modeller och attacken kan potentiellt p\u00e5verka alla Android-enheter.