Difetto Android Pixnapping

I ricercatori di sicurezza informatica hanno identificato una vulnerabilità critica che colpisce i dispositivi Android di Google e Samsung, denominata Pixnapping. Questo attacco side-channel consente a un'app dannosa di rubare segretamente dati sensibili, inclusi codici di autenticazione a due fattori (2FA) e cronologie di Google Maps, catturando i pixel dello schermo all'insaputa dell'utente. L'attacco opera pixel per pixel, il che lo rende estremamente preciso e furtivo.

Come funziona il Pixnapping: il furto di pixel alla base

In sostanza, Pixnapping è un framework di pixel stealing progettato per aggirare le mitigazioni standard dei browser e colpire app non basate su browser come Google Authenticator. Sfrutta le API Android e un side-channel hardware per acquisire rapidamente informazioni sensibili; i codici 2FA possono essere estratti in meno di 30 secondi.

L'attacco sfrutta la pipeline di rendering di Android in un modo unico:

• Un'app dannosa forza i pixel della vittima nella pipeline di rendering utilizzando gli intenti Android.
• Applica quindi una serie di attività Android semitrasparenti per elaborare tali pixel.

Questa metodologia rispecchia gli attacchi "Stone-style", in precedenza limitati ai browser, ora adattati alle app native.

Dispositivi a rischio e portata della vulnerabilità

La ricerca ha esaminato specificamente cinque dispositivi Google e Samsung con versioni Android dalla 13 alla 16. Sebbene non siano stati testati altri produttori, i principi alla base dell'attacco sono presenti su tutti i dispositivi Android, rendendo la piattaforma ampiamente vulnerabile.

Sorprendentemente, qualsiasi app Android può eseguire Pixnapping senza autorizzazioni speciali nel suo manifest. Tuttavia, l'attacco richiede che la vittima installi e avvii l'app dannosa, spesso tramite ingegneria sociale o inganni.

Meccanica tecnica: canali laterali della GPU e exploit di sfocatura delle finestre

Il Pixnapping si basa sul canale laterale GPU.zip precedentemente divulgato (settembre 2023), che sfruttava le funzionalità di compressione delle GPU integrate per rubare pixel cross-origin nei browser. Il nuovo attacco amplia questo concetto combinandolo con l'API di sfocatura delle finestre di Android, consentendo il furto di pixel dalle app vittime.

Il processo funziona come segue:

• Un'app dannosa invia i pixel dell'app vittima nella pipeline di rendering.
• Le attività semitrasparenti vengono sovrapposte utilizzando intenti Android per mascherare, ingrandire e trasmettere pixel mirati.

• Ogni pixel contenente dati sensibili viene isolato ed estratto in sequenza.

• Ciò consente agli aggressori di ricostruire pixel per pixel i codici 2FA o altri contenuti riservati.

Perché Android è vulnerabile: tre fattori abilitanti

I ricercatori hanno individuato tre condizioni che rendono possibile il Pixnapping:

• Inserimento di attività da altre app nella pipeline di rendering di Android.
• Indurre operazioni grafiche (come la sfocatura) su questi pixel.
• Misurazione degli effetti collaterali dipendenti dal colore dei pixel per dedurre informazioni sensibili.

Risposta di Google e aggiornamenti di sicurezza

Google ha tracciato Pixnapping con la vulnerabilità CVE-2025-48561 (CVSS 5.5). Una patch è stata rilasciata nel Bollettino sulla sicurezza Android di settembre 2025, mitigando parzialmente l'attacco. La patch risolve scenari in cui una sfocatura eccessiva potrebbe essere utilizzata per rubare pixel.

Una seconda patch è prevista per dicembre 2025 per chiudere un nuovo vettore di attacco che riattiva Pixnapping tramite aggiustamenti temporali. Google ha sottolineato che lo sfruttamento richiede dati specifici del dispositivo e ha confermato l'assenza di malware attivi che sfruttano questa falla su Google Play.

Rischi aggiuntivi: rilevamento delle app e implicazioni sulla privacy

Il pixnapping consente inoltre a un aggressore di rilevare le app installate su un dispositivo, aggirando le restrizioni implementate a partire da Android 11, progettate per nascondere gli elenchi delle app.

L'attacco evidenzia i rischi insiti nella stratificazione delle app mobili, un sistema in cui le app interagiscono ampiamente all'interno del sistema operativo. Limitare completamente le funzionalità delle app a più livelli è impraticabile; le difese potrebbero invece concentrarsi sul consentire alle app sensibili di escludersi e limitare la capacità degli aggressori di eseguire misurazioni.

Punti chiave per gli utenti

Il pixnapping è un attacco altamente stealth che opera senza richiedere autorizzazioni elevate per le app, il che lo rende particolarmente insidioso. Il rischio aumenta quando gli utenti installano app da fonti non attendibili, poiché le applicazioni dannose potrebbero sfruttare la vulnerabilità per accedere a informazioni sensibili. Sebbene Google abbia rilasciato patch parziali per risolvere il problema, è prevista una mitigazione completa a dicembre 2025. Nel frattempo, gli utenti dovrebbero rimanere vigili, monitorando attentamente le proprie app 2FA e altri dati sensibili per individuare eventuali segnali di attività insolite.