Проблем с Pixnapping в Android

Изследователи по киберсигурност са идентифицирали критична уязвимост, засягаща Android устройства от Google и Samsung, наречена Pixnapping. Тази атака по страничен канал позволява на злонамерено приложение тайно да краде чувствителни данни, включително кодове за двуфакторно удостоверяване (2FA) и времеви линии на Google Maps, като заснема пиксели на екрана без знанието на потребителя. Атаката работи пиксел по пиксел, което я прави изключително прецизна и скрита.

Как работи Pixnapping: Кражба на пиксели в основата си

В основата си Pixnapping е рамка за кражба на пиксели, предназначена да заобикаля стандартните защити на браузъра и да е насочена към приложения, които не са браузър, като Google Authenticator. Тя използва Android API и хардуерен страничен канал за бързо улавяне на чувствителна информация, като 2FA кодовете могат да бъдат извлечени за по-малко от 30 секунди.

Атаката използва канала за рендериране на Android по уникален начин:

• Злонамерено приложение принуждава пикселите на жертвата да влязат в процес на рендиране, използвайки намерения на Android.
• След това прилага набор от полупрозрачни Android дейности, за да изчисли върху тези пиксели.

Тази методология отразява атаките в стил „Stone“, които преди бяха ограничени до браузъри, а сега са адаптирани за нативни приложения.

Устройства, изложени на риск, и обхват на уязвимостта

Изследването е изследвало специално пет устройства на Google и Samsung, работещи с Android версии от 13 до 16. Въпреки че други производители не са били тествани, основните принципи на атаката съществуват на всички устройства с Android, което прави платформата широко уязвима.

Забележително е, че всяко Android приложение може да изпълнява Pixnapping без специални разрешения в манифеста си. Атаката обаче изисква жертвата да инсталира и стартира злонамереното приложение, често чрез социално инженерство или измама.

Техническа механика: Странични канали на графичния процесор и експлойти за размазване на прозорци

Pixnapping надгражда върху предварително разкрития страничен канал GPU.zip (септември 2023 г.), който използва функции за компресия в интегрирани графични процесори, за да краде пиксели от различен произход в браузърите. Новата атака разширява тази концепция, като я комбинира с API за размазване на прозорци на Android, което позволява кражба на пиксели от приложенията на жертвата.

Процесът работи по следния начин:

• Злонамерено приложение изпраща пиксели на приложението-жертва в канала за рендиране.
• Полупрозрачните дейности се наслагват с помощта на Android Intents, за да маскират, уголемяват и предават целеви пиксели.

• Всеки пиксел, съдържащ чувствителни данни, се изолира и извлича последователно.

• Това позволява на атакуващите да реконструират 2FA кодове или друго поверително съдържание пиксел по пиксел.

Защо Android е уязвим: Три благоприятстващи фактора

Изследователите идентифицираха три условия, които правят Pixnapping възможен:

• Инжектиране на дейности от други приложения в канала за рендиране на Android.
• Индуциране на графични операции (като размазване) върху тези пиксели.
• Измерване на странични ефекти, зависими от цвета на пикселите, за да се изведе чувствителна информация.

Актуализации за отговор и сигурност на Google

Google е проследил Pixnapping под CVE-2025-48561 (CVSS 5.5). В Бюлетина за сигурност на Android от септември 2025 г. беше пусната корекция, която частично смекчава атаката. Корекцията адресира сценарии, при които прекомерното размазване може да се използва за кражба на пиксели.

Вторият пач е планиран за декември 2025 г., за да се затвори нов вектор на атака, който отново активира Pixnapping чрез корекции на времето. Google отбеляза, че експлоатацията изисква специфични за устройството данни и потвърди, че няма активен зловреден софтуер, който да използва тази уязвимост в Google Play.

Допълнителни рискове: Откриване на приложения и последици за поверителността

Pixnapping също така позволява на нападателя да открива инсталирани приложения на устройство, заобикаляйки ограниченията, въведени след Android 11, предназначени да скрият списъци с приложения.

Атаката подчертава рисковете, присъщи на многослойното изграждане на мобилни приложения – система, при която приложенията взаимодействат интензивно в различните операционни системи. Ограничаването на функционалността на многослойните приложения е непрактично; вместо това, защитите могат да се съсредоточат върху това да позволят на чувствителните приложения да се откажат и да ограничат способността на атакуващите да извършват измервания.

Ключови изводи за потребителите

Pixnapping е изключително скрита атака, която действа без да изисква повишени разрешения за приложения, което я прави особено коварна. Рискът се увеличава, когато потребителите инсталират приложения от ненадеждни източници, тъй като злонамерените приложения биха могли да използват уязвимостта, за да получат достъп до чувствителна информация. Въпреки че Google е издала частични корекции за отстраняване на проблема, пълното му смекчаване се очаква през декември 2025 г. Междувременно потребителите трябва да останат бдителни, като следят отблизо своите 2FA приложения и други чувствителни данни за всякакви признаци на необичайна активност.