Pixnapping Android-fejl

Cybersikkerhedsforskere har identificeret en kritisk sårbarhed, der påvirker Android-enheder fra Google og Samsung, kaldet Pixnapping. Dette sidekanalangreb gør det muligt for en ondsindet app i hemmelighed at stjæle følsomme data, herunder tofaktorgodkendelseskoder (2FA) og tidslinjer i Google Maps, ved at indfange skærmpixels uden brugerens viden. Angrebet fungerer pixel for pixel, hvilket gør det yderst præcist og diskret.

Sådan fungerer Pixnapping: Pixel-tyveri i sin kerne

I sin kerne er Pixnapping et pixelstjælende framework designet til at omgå standard browser-afhjælpninger og målrette ikke-browser-apps såsom Google Authenticator. Det udnytter Android API'er og en hardware-sidekanal til hurtigt at indsamle følsomme oplysninger, og 2FA-koder kan udtrækkes på under 30 sekunder.

Angrebet udnytter Androids renderingspipeline på en unik måde:

• En ondsindet app tvinger offerets pixels ind i renderingspipelinen ved hjælp af Android-intents.
• Den anvender derefter en stak af semi-transparente Android-aktiviteter til at beregne på disse pixels.

Denne metode afspejler 'Stone-style'-angreb, der tidligere var begrænset til browsere, men som nu er tilpasset native apps.

Enheder i fare og omfanget af sårbarheden

Forskningen undersøgte specifikt fem Google- og Samsung-enheder, der kører Android-versionerne 13 til 16. Selvom andre producenter ikke er blevet testet, findes de underliggende principper for angrebet på alle Android-enheder, hvilket gør platformen bredt sårbar.

Bemærkelsesværdigt nok kan enhver Android-app udføre Pixnapping uden særlige tilladelser i sit manifest. Angrebet kræver dog, at offeret installerer og starter den ondsindede app, ofte via social engineering eller bedrag.

Teknisk mekanik: GPU-sidekanaler og udnyttelse af vinduessløring

Pixnapping bygger på den tidligere offentliggjorte GPU.zip-sidekanal (september 2023), som udnyttede komprimeringsfunktioner i integrerede GPU'er til at stjæle cross-origin pixels i browsere. Det nye angreb udvider dette koncept ved at kombinere det med Androids Window Blur API, hvilket muliggør tyveri af pixels fra offerapps.

Processen fungerer som følger:

• En ondsindet app sender offerets app-pixels ind i renderingspipelinen.
• Semi-transparente aktiviteter lægges oven på hinanden ved hjælp af Android-intentioner til at maskere, forstørre og overføre målrettede pixels.

• Hver pixel, der indeholder følsomme data, isoleres og udvindes sekventielt.

• Dette gør det muligt for angribere at rekonstruere 2FA-koder eller andet fortroligt indhold pixel for pixel.

Hvorfor Android er sårbar: Tre muliggørende faktorer

Forskere identificerede tre betingelser, der gør Pixnapping mulig:

• Indsprøjtning af aktiviteter fra andre apps i Android-renderingspipelinen.
• Induktion af grafiske operationer (som sløring) på disse pixels.
• Måling af pixelfarveafhængige bivirkninger for at udlede følsom information.

Googles svar og sikkerhedsopdateringer

Google har sporet Pixnapping under CVE-2025-48561 (CVSS 5.5). En programrettelse blev udgivet i Android Security Bulletin fra september 2025, som delvist afbød angrebet. Programrettelsen adresserer scenarier, hvor overdreven sløring kunne bruges til at stjæle pixels.

En anden patch er planlagt til december 2025 for at lukke en ny angrebsvektor, der genaktiverer Pixnapping via timingjusteringer. Google bemærkede, at udnyttelsen kræver enhedsspecifikke data og bekræftede ingen aktiv malware, der udnytter denne fejl i Google Play.

Yderligere risici: App-detektion og implikationer for privatlivets fred

Pixnapping giver også en angriber mulighed for at registrere installerede apps på en enhed og omgå dermed begrænsninger, der er implementeret siden Android 11, som er designet til at skjule applister.

Angrebet fremhæver de risici, der er forbundet med lagdeling af mobilapps, et system, hvor apps interagerer i vid udstrækning på tværs af operativsystemet. Det er upraktisk at begrænse funktionaliteten af lagdelte apps fuldstændigt; i stedet kan forsvar fokusere på at lade følsomme apps fravælge og begrænse angribernes evne til at udføre målinger.

Vigtige konklusioner for brugerne

Pixnapping er et meget skjult angreb, der fungerer uden at kræve forhøjede apptilladelser, hvilket gør det særligt lumsk. Risikoen øges, når brugere installerer apps fra upålidelige kilder, da ondsindede applikationer kan udnytte sårbarheden til at få adgang til følsomme oplysninger. Selvom Google har udsendt delvise programrettelser for at løse problemet, forventes en fuldstændig afhjælpning i december 2025. I mellemtiden bør brugerne forblive årvågne og nøje overvåge deres 2FA-apps og andre følsomme data for tegn på usædvanlig aktivitet.