Pixnappingin Android-virhe

Kyberturvallisuustutkijat ovat tunnistaneet kriittisen haavoittuvuuden, joka vaikuttaa Googlen ja Samsungin Android-laitteisiin. Haavoittuvuus on nimeltään Pixnapping. Tämä sivukanavahyökkäys mahdollistaa haitallisen sovelluksen varastaa salaa arkaluontoisia tietoja, kuten kaksivaiheisen todennuksen (2FA) koodeja ja Google Mapsin aikajanoja, kaappaamalla näytön pikseleitä käyttäjän tietämättä. Hyökkäys toimii pikseli pikseliltä, mikä tekee siitä erittäin tarkan ja huomaamattoman.

Miten Pixnapping toimii: Pikselin varastaminen ytimessään

Ytimessään Pixnapping on pikseleitä varastava kehys, joka on suunniteltu ohittamaan selaimen tavalliset suojausmenetelmät ja kohdistamaan hyökkäykset muihin kuin selainsovelluksiin, kuten Google Authenticatoriin. Se hyödyntää Android-rajapintoja ja laitteiston sivukanavaa arkaluonteisten tietojen nopeaan tallentamiseen, ja 2FA-koodit voidaan purkaa alle 30 sekunnissa.

Hyökkäys hyödyntää Androidin renderöintiputkea ainutlaatuisella tavalla:

• Haitallinen sovellus pakottaa uhripikseleitä renderöintiputkeen Android-intentien avulla.
• Sitten se soveltaa pinoa puoliläpinäkyviä Android-aktiviteetteja näiden pikselien laskemiseen.

Tämä menetelmä peilaa aiemmin selaimiin rajoittuneita ”Stone-tyylisiä” hyökkäyksiä, jotka on nyt mukautettu natiivisovelluksiin.

Vaarassa olevat laitteet ja haavoittuvuuden laajuus

Tutkimuksessa tarkasteltiin erityisesti viittä Googlen ja Samsungin laitetta, joissa on Android-versiot 13–16. Vaikka muita valmistajia ei ole testattu, hyökkäyksen taustalla olevat periaatteet koskevat kaikkia Android-laitteita, mikä tekee alustasta laajalti alttiin hyökkäykselle.

On huomionarvoista, että mikä tahansa Android-sovellus voi suorittaa Pixnappingin ilman erityisiä käyttöoikeuksia luettelossaan. Hyökkäys kuitenkin edellyttää, että uhri asentaa ja käynnistää haitallisen sovelluksen, usein sosiaalisen manipuloinnin tai huijauksen avulla.

Tekninen mekaniikka: GPU:n sivukanavat ja ikkunoiden sumennuksen hyödyntäminen

Pixnapping perustuu aiemmin (syyskuu 2023) julkistettuun GPU.zip-sivukanavaan, joka hyödynsi integroitujen näytönohjainten pakkausominaisuuksia varastaakseen eri alkuperää olevia pikseleitä selaimissa. Uusi hyökkäys laajentaa tätä konseptia yhdistämällä sen Androidin window blur API:in, mikä mahdollistaa pikseleiden varastamisen uhrisovelluksista.

Prosessi toimii seuraavasti:

• Haitallinen sovellus lähettää uhrisovelluksen pikseleitä renderöintiputkeen.
• Läpinäkyvät toiminnot peitetään Android-intenteillä, jotka peittävät, suurentaavat ja lähettävät kohdennettuja pikseleitä.

• Jokainen arkaluontoista tietoa sisältävä pikseli eristetään ja erotetaan peräkkäin.

• Tämä antaa hyökkääjille mahdollisuuden rekonstruoida 2FA-koodeja tai muuta luottamuksellista sisältöä pikseli pikseliltä.

Miksi Android on haavoittuvainen: Kolme mahdollistavaa tekijää

Tutkijat tunnistivat kolme ehtoa, jotka mahdollistavat Pixnappingin:

• Toimintojen syöttäminen muista sovelluksista Androidin renderöintiputkeen.
• Graafisten toimintojen (kuten sumennuksen) aiheuttaminen näille pikseleille.
• Pikselin väristä riippuvien sivuvaikutusten mittaaminen arkaluonteisten tietojen päättelemiseksi.

Googlen vastaus ja tietoturvapäivitykset

Google on jäljittänyt Pixnappingin haavoittuvuudella CVE-2025-48561 (CVSS 5.5). Syyskuun 2025 Android Security Bulletinissa julkaistiin korjaustiedosto, joka osittain lievensi hyökkäystä. Korjaus puuttuu tilanteisiin, joissa liiallista sumennusta voitaisiin käyttää pikseleiden varastamiseen.

Toinen korjauspäivitys on ajoitettu joulukuulle 2025 sulkemaan uuden hyökkäysvektorin, joka ottaa Pixnappingin uudelleen käyttöön ajoitusmuutosten avulla. Google huomautti, että hyväksikäyttö vaatii laitekohtaisia tietoja, ja vahvisti, ettei Google Playssa ole aktiivista haittaohjelmaa, joka hyödyntäisi tätä haavoittuvuutta.

Lisäriskit: Sovellusten tunnistus ja yksityisyydensuojaan liittyvät vaikutukset

Pixnappingin avulla hyökkääjä voi myös havaita laitteelle asennetut sovellukset ohittaen Android 11:stä lähtien käyttöön otetut rajoitukset, joiden tarkoituksena on piilottaa sovellusluettelot.

Hyökkäys korostaa mobiilisovellusten kerrostukseen liittyviä riskejä, sillä järjestelmässä sovellukset ovat laajasti vuorovaikutuksessa eri käyttöjärjestelmien välillä. Kerrostettujen sovellusten toiminnallisuuden rajoittaminen kokonaan on epäkäytännöllistä; sen sijaan puolustuskeinot voivat keskittyä antamaan arkaluonteisten sovellusten kieltäytyä ja rajoittamaan hyökkääjien kykyä suorittaa mittauksia.

Käyttäjien kannalta keskeiset tiedot

Pixnapping on erittäin huomaamaton hyökkäys, joka toimii ilman laajennettuja sovellusten käyttöoikeuksia, mikä tekee siitä erityisen salakavalan. Riski kasvaa, kun käyttäjät asentavat sovelluksia epäluotettavista lähteistä, sillä haitalliset sovellukset voivat hyödyntää haavoittuvuutta päästäkseen käsiksi arkaluonteisiin tietoihin. Vaikka Google on julkaissut osittaisia korjauksia ongelman korjaamiseksi, täydellisen lievennyksen odotetaan tapahtuvan joulukuussa 2025. Sillä välin käyttäjien tulisi pysyä valppaina ja seurata tarkasti 2FA-sovelluksiaan ja muita arkaluonteisia tietojaan epätavallisen toiminnan merkkien varalta.