Error de Pixnapping per a Android

Investigadors de ciberseguretat han identificat una vulnerabilitat crítica que afecta els dispositius Android de Google i Samsung, anomenada Pixnapping. Aquest atac de canal lateral permet a una aplicació maliciosa robar de manera encoberta dades sensibles, inclosos codis d'autenticació de dos factors (2FA) i cronologies de Google Maps, capturant píxels de la pantalla sense el coneixement de l'usuari. L'atac opera píxel per píxel, cosa que el fa altament precís i discret.

Com funciona Pixnapping: el robatori de píxels en la seva essència

En essència, Pixnapping és un marc de treball per robar píxels dissenyat per eludir les mitigacions estàndard del navegador i atacar aplicacions que no són del navegador, com ara Google Authenticator. Aprofita les API d'Android i un canal lateral de maquinari per capturar informació sensible ràpidament, i els codis 2FA es poden extreure en menys de 30 segons.

L'atac explota el pipeline de renderització d'Android d'una manera única:

• Una aplicació maliciosa força els píxels víctimes a la cadena de renderització utilitzant les intencions d'Android.
• A continuació, aplica una pila d'activitats semitransparents d'Android per calcular sobre aquests píxels.

Aquesta metodologia reflecteix els atacs d'estil "Stone" que abans es limitaven als navegadors, ara adaptats per a aplicacions natives.

Dispositius en risc i abast de la vulnerabilitat

La investigació va examinar específicament cinc dispositius de Google i Samsung que executaven les versions d'Android 13 a 16. Tot i que no s'han provat altres fabricants, els principis subjacents de l'atac existeixen en tots els dispositius Android, cosa que fa que la plataforma sigui àmpliament susceptible.

Sorprenentment, qualsevol aplicació d'Android pot executar Pixnapping sense permisos especials al seu manifest. Tanmateix, l'atac requereix que la víctima instal·li i iniciï l'aplicació maliciosa, sovint mitjançant enginyeria social o enganys.

Mecànica tècnica: canals laterals de la GPU i vulnerabilitats de desenfocament de finestres

Pixnapping es basa en el canal lateral GPU.zip divulgat anteriorment (setembre de 2023), que aprofitava les funcions de compressió de les GPU integrades per robar píxels d'origen creuat als navegadors. El nou atac amplia aquest concepte combinant-lo amb l'API de desenfocament de finestres d'Android, permetent el robatori de píxels de les aplicacions víctimes.

El procés funciona de la següent manera:

• Una aplicació maliciosa envia píxels de l'aplicació víctima al pipeline de renderització.
• Les activitats semitransparents se superposen mitjançant les intencions d'Android per emmascarar, ampliar i transmetre píxels dirigits.

• Cada píxel que conté dades sensibles s'aïlla i s'extreu seqüencialment.

• Això permet als atacants reconstruir codis 2FA o altre contingut confidencial píxel per píxel.

Per què Android és vulnerable: tres factors que ho permeten

Els investigadors van identificar tres condicions que fan possible el Pixnapping:

• Injectant activitats d'altres aplicacions al pipeline de renderització d'Android.
• Induint operacions gràfiques (com ara el desenfoque) en aquests píxels.
• Mesurar els efectes secundaris dependents del color dels píxels per inferir informació sensible.

Resposta de Google i actualitzacions de seguretat

Google ha rastrejat Pixnapping amb la CVE-2025-48561 (CVSS 5.5). Es va publicar un pegat al Butlletí de Seguretat d'Android del setembre de 2025, que mitigava parcialment l'atac. El pegat aborda escenaris en què es podria utilitzar un desenfocament excessiu per robar píxels.

Un segon pegat està programat per al desembre de 2025 per tancar un nou vector d'atac que reactiva Pixnapping mitjançant ajustos de temps. Google va assenyalar que l'explotació requereix dades específiques del dispositiu i va confirmar que no hi ha programari maliciós actiu que exploti aquesta falla a Google Play.

Riscos addicionals: detecció d’aplicacions i implicacions de privadesa

Pixnapping també permet a un atacant detectar aplicacions instal·lades en un dispositiu, evitant les restriccions implementades des d'Android 11 dissenyades per ocultar llistes d'aplicacions.

L'atac posa de manifest els riscos inherents a la superposició de capes d'aplicacions mòbils, un sistema on les aplicacions interactuen àmpliament a través del sistema operatiu. Restringir completament la funcionalitat de les aplicacions en capes no és pràctic; en canvi, les defenses es poden centrar en permetre que les aplicacions sensibles s'excloguin i limitar la capacitat dels atacants per realitzar mesures.

Conclusions clau per als usuaris

El Pixnapping és un atac molt furtiu que funciona sense requerir permisos d'aplicació elevats, cosa que el fa particularment insidiós. El risc augmenta quan els usuaris instal·len aplicacions de fonts no fiables, ja que les aplicacions malicioses podrien explotar la vulnerabilitat per accedir a informació confidencial. Tot i que Google ha publicat pegats parcials per solucionar el problema, s'espera una mitigació completa al desembre de 2025. Mentrestant, els usuaris han de mantenir-se alerta, supervisant de prop les seves aplicacions 2FA i altres dades confidencials per detectar qualsevol signe d'activitat inusual.