Chyba Pixnappingu v Androidu

Výzkumníci v oblasti kybernetické bezpečnosti identifikovali kritickou zranitelnost postihující zařízení Android od společností Google a Samsung, nazvanou Pixnapping. Tento útok postranním kanálem umožňuje škodlivé aplikaci tajně krást citlivá data, včetně kódů dvoufaktorového ověřování (2FA) a časových os Map Google, zachycením pixelů obrazovky bez vědomí uživatele. Útok funguje pixel po pixelu, takže je vysoce přesný a nenápadný.

Jak funguje Pixnapping: Krádeže pixelů v jádru

Pixnapping je ve své podstatě framework pro krádež pixelů, který je navržen tak, aby obcházel standardní opatření prohlížeče a cílil na aplikace mimo prohlížeč, jako je Google Authenticator. Využívá rozhraní Android API a hardwarový postranní kanál k rychlému zachycení citlivých informací, kódy 2FA lze extrahovat za méně než 30 sekund.

Útok využívá vykreslovací kanál systému Android unikátním způsobem:

• Škodlivá aplikace vnucuje pixely oběti do renderovacího kanálu pomocí intentů systému Android.
• Poté aplikuje zásobník poloprůhledných aktivit Androidu pro výpočet na těchto pixelech.

Tato metodologie odráží útoky ve stylu „Stone“, které byly dříve omezeny na prohlížeče, nyní jsou přizpůsobeny pro nativní aplikace.

Ohrožená zařízení a rozsah zranitelnosti

Výzkum se konkrétně zabýval pěti zařízeními od společností Google a Samsung s verzemi Androidu 13 až 16. Zatímco ostatní výrobci testováni nebyli, základní principy útoku existují na všech zařízeních s Androidem, takže je platforma široce zranitelná.

Je pozoruhodné, že jakákoli aplikace pro Android může spustit Pixnapping bez zvláštních oprávnění ve svém manifestu. Útok však vyžaduje, aby oběť nainstalovala a spustila škodlivou aplikaci, často pomocí sociálního inženýrství nebo podvodů.

Technická mechanika: Zneužití postranních kanálů GPU a rozmazání oken

Pixnapping staví na dříve zveřejněném postranním kanálu GPU.zip (září 2023), který využíval kompresní funkce v integrovaných GPU k odcizení pixelů z různých zdrojů v prohlížečích. Nový útok rozšiřuje tento koncept kombinací s API pro rozmazání oken systému Android, což umožňuje krádež pixelů z aplikací oběti.

Proces funguje následovně:

• Škodlivá aplikace odesílá pixely aplikace oběti do renderovacího kanálu.
• Poloprůhledné aktivity jsou překryty pomocí záměrů systému Android, které maskují, zvětšují a přenášejí cílové pixely.

• Každý pixel obsahující citlivá data je izolován a postupně extrahován.

• To umožňuje útočníkům rekonstruovat kódy 2FA nebo jiný důvěrný obsah pixel po pixelu.

Proč je Android zranitelný: Tři faktory, které to umožňují

Výzkumníci identifikovali tři podmínky, které umožňují Pixnapping:

• Vkládání aktivit z jiných aplikací do renderovacího kanálu Androidu.
• Vyvolání grafických operací (jako je rozmazání) na těchto pixelech.
• Měření vedlejších účinků závislých na barvě pixelů za účelem odvození citlivých informací.

Reakce společnosti Google a aktualizace zabezpečení

Google sledoval útok Pixnapping pod kódem CVE-2025-48561 (CVSS 5.5). V zářijovém bulletinu zabezpečení Androidu ze roku 2025 byla vydána oprava, která útok částečně zmírňuje. Oprava řeší scénáře, kdy by nadměrné rozmazání mohlo být použito ke krádeži pixelů.

Druhá záplata je naplánována na prosinec 2025, která má zastavit nový vektor útoku, jenž znovu povoluje Pixnapping pomocí úprav časování. Google poznamenal, že zneužití vyžaduje data specifická pro dané zařízení, a nepotvrdil, že na Google Play není aktivní malware, který by tuto chybu zneužíval.

Další rizika: Detekce aplikací a důsledky pro soukromí

Pixnapping také umožňuje útočníkovi detekovat nainstalované aplikace v zařízení a obejít omezení zavedená od verze Android 11, která mají skrýt seznamy aplikací.

Útok zdůrazňuje rizika spojená s vrstvením mobilních aplikací, což je systém, kde aplikace navzájem rozsáhle interagují napříč operačním systémem. Úplné omezení funkčnosti vrstvených aplikací je nepraktické; obrana se místo toho může zaměřit na to, aby citlivé aplikace mohly být odhlášeny a aby se omezila schopnost útočníků provádět měření.

Klíčové poznatky pro uživatele

Pixnapping je vysoce nenápadný útok, který funguje bez nutnosti zvýšených oprávnění aplikací, což ho činí obzvláště zákeřným. Riziko se zvyšuje, když uživatelé instalují aplikace z nedůvěryhodných zdrojů, protože škodlivé aplikace by mohly zneužít tuto zranitelnost k přístupu k citlivým informacím. Ačkoli Google vydal částečné záplaty k řešení problému, úplné zmírnění se očekává v prosinci 2025. Mezitím by uživatelé měli zůstat ostražití a pečlivě sledovat své aplikace 2FA a další citlivá data, zda neobjevují známky neobvyklé aktivity.