Nedostatak Pixnapping Androida

Istraživači kibernetičke sigurnosti identificirali su kritičnu ranjivost koja utječe na Android uređaje tvrtki Google i Samsung, nazvanu Pixnapping. Ovaj napad bočnim kanalom omogućuje zlonamjernoj aplikaciji prikrivenu krađu osjetljivih podataka, uključujući kodove za dvofaktorsku autentifikaciju (2FA) i vremenske crte Google karata, snimanjem piksela zaslona bez znanja korisnika. Napad djeluje piksel po piksel, što ga čini vrlo preciznim i prikrivenim.

Kako funkcionira Pixnapping: Krađa piksela u svojoj srži

U svojoj srži, Pixnapping je okvir za krađu piksela osmišljen za zaobilaženje standardnih mjera preglednika i ciljanje aplikacija koje nisu preglednik, poput Google Authenticatora. Koristi Android API-je i hardverski bočni kanal za brzo hvatanje osjetljivih informacija, a 2FA kodovi mogu se izdvojiti za manje od 30 sekundi.

Napad iskorištava Androidov proces renderiranja na jedinstven način:

• Zlonamjerna aplikacija prisiljava piksele žrtve u proces renderiranja koristeći Android namjere.
• Zatim primjenjuje niz poluprozirnih Android aktivnosti za izračunavanje na tim pikselima.

Ova metodologija odražava napade u 'Stoneovom stilu' koji su prije bili ograničeni na preglednike, a sada su prilagođeni za izvorne aplikacije.

Uređaji u riziku i opseg ranjivosti

Istraživanje je posebno ispitalo pet Googleovih i Samsungovih uređaja s verzijama Androida od 13 do 16. Iako ostali proizvođači nisu testirani, temeljni principi napada postoje na svim Android uređajima, što platformu čini vrlo ranjivom.

Zanimljivo je da bilo koja Android aplikacija može izvršiti Pixnapping bez posebnih dozvola u svom manifestu. Međutim, napad zahtijeva da žrtva instalira i pokrene zlonamjernu aplikaciju, često putem socijalnog inženjeringa ili prijevare.

Tehnička mehanika: GPU bočni kanali i iskorištavanje zamućenja prozora

Pixnapping se temelji na prethodno otkrivenom GPU.zip bočnom kanalu (rujan 2023.), koji je koristio značajke kompresije u integriranim GPU-ima za krađu piksela iz različitih izvora u preglednicima. Novi napad proširuje ovaj koncept kombinirajući ga s Androidovim API-jem za zamućenje prozora, omogućujući krađu piksela iz aplikacija žrtve.

Proces funkcionira na sljedeći način:

• Zlonamjerna aplikacija šalje piksele aplikacije žrtve u proces renderiranja.
• Poluprozirne aktivnosti prekrivaju se pomoću Androidovih namjera za maskiranje, povećanje i prijenos ciljanih piksela.

• Svaki piksel koji sadrži osjetljive podatke se izolira i sekvencijalno ekstrahira.

• To omogućuje napadačima da rekonstruiraju 2FA kodove ili drugi povjerljivi sadržaj piksel po piksel.

Zašto je Android ranjiv: Tri faktora koja to omogućuju

Istraživači su identificirali tri uvjeta koja omogućuju Pixnapping:

• Ubrizgavanje aktivnosti iz drugih aplikacija u Androidov proces renderiranja.
• Izvođenje grafičkih operacija (poput zamućenja) na tim pikselima.
• Mjerenje nuspojava ovisnih o boji piksela radi zaključivanja o osjetljivim informacijama.

Googleov odgovor i sigurnosna ažuriranja

Google je pratio Pixnapping pod CVE-2025-48561 (CVSS 5.5). Zakrpa je objavljena u rujnskom biltenu o sigurnosti Androida iz 2025., djelomično ublažavajući napad. Zakrpa se bavi scenarijima u kojima bi se pretjerano zamućenje moglo koristiti za krađu piksela.

Druga zakrpa planirana je za prosinac 2025. kako bi se zatvorio novi vektor napada koji ponovno omogućuje Pixnapping putem prilagodbi vremena. Google je napomenuo da iskorištavanje zahtijeva podatke specifične za uređaj i potvrdio je da na Google Playu ne postoji aktivni zlonamjerni softver koji iskorištava ovu manu.

Dodatni rizici: Otkrivanje aplikacija i implikacije za privatnost

Pixnapping također omogućuje napadaču otkrivanje instaliranih aplikacija na uređaju, zaobilazeći ograničenja uvedena od Androida 11, osmišljena za skrivanje popisa aplikacija.

Napad naglašava rizike svojstvene slojevitosti mobilnih aplikacija, sustavu u kojem aplikacije intenzivno komuniciraju na različitim operativnim sustavima. Potpuno ograničavanje funkcionalnosti slojevitih aplikacija nije praktično; umjesto toga, obrana se može usredotočiti na to da se osjetljivim aplikacijama dopusti isključivanje i ograniči sposobnost napadača da izvode mjerenja.

Ključne informacije za korisnike

Pixnapping je vrlo prikriven napad koji djeluje bez potrebe za povišenim dopuštenjima aplikacija, što ga čini posebno podmuklim. Rizik se povećava kada korisnici instaliraju aplikacije iz nepouzdanih izvora, jer zlonamjerne aplikacije mogu iskoristiti ranjivost za pristup osjetljivim informacijama. Iako je Google izdao djelomične zakrpe za rješavanje problema, potpuno ublažavanje očekuje se u prosincu 2025. U međuvremenu, korisnici bi trebali ostati oprezni, pomno prateći svoje 2FA aplikacije i druge osjetljive podatke radi bilo kakvih znakova neobične aktivnosti.