Pixnapping Android Cacat

Penyelidik keselamatan siber telah mengenal pasti kelemahan kritikal yang menjejaskan peranti Android daripada Google dan Samsung, yang digelar Pixnapping. Serangan saluran sisi ini membenarkan apl berniat jahat mencuri data sensitif secara rahsia, termasuk kod pengesahan dua faktor (2FA) dan garis masa Peta Google, dengan menangkap piksel skrin tanpa pengetahuan pengguna. Serangan ini beroperasi pada asas piksel demi piksel, menjadikannya sangat tepat dan tersembunyi.

Cara Pixnapping Berfungsi: Pixel-Stealing pada Terasnya

Pada terasnya, Pixnapping ialah rangka kerja mencuri piksel yang direka untuk memintas pengurangan penyemak imbas standard dan menyasarkan apl bukan penyemak imbas seperti Google Authenticator. Ia memanfaatkan API Android dan saluran sisi perkakasan untuk menangkap maklumat sensitif dengan pantas, kod 2FA boleh diekstrak dalam masa kurang daripada 30 saat.

Serangan itu mengeksploitasi saluran pemaparan Android dengan cara yang unik:

• Apl berniat jahat memaksa piksel mangsa ke dalam saluran pemaparan menggunakan niat Android.
• Ia kemudian menggunakan timbunan aktiviti Android separa lutsinar untuk mengira pada piksel tersebut.

Metodologi ini mencerminkan serangan 'gaya Batu' yang sebelum ini terhad kepada penyemak imbas, kini disesuaikan untuk apl asli.

Peranti Berisiko dan Skop Keterdedahan

Penyelidikan itu secara khusus mengkaji lima peranti Google dan Samsung yang menjalankan Android versi 13 hingga 16. Walaupun pengeluar lain belum diuji, prinsip asas serangan itu wujud pada semua peranti Android, menjadikan platform itu mudah terdedah.

Hebatnya, mana-mana apl Android boleh melaksanakan Pixnapping tanpa kebenaran khas dalam manifesnya. Walau bagaimanapun, serangan itu memerlukan mangsa memasang dan melancarkan aplikasi berniat jahat, selalunya melalui kejuruteraan sosial atau muslihat.

Mekanik Teknikal: Saluran Sisi GPU dan Eksploitasi Kabur Tetingkap

Pixnapping dibina pada saluran sisi GPU.zip yang didedahkan sebelum ini (September 2023), yang memanfaatkan ciri mampatan dalam GPU bersepadu untuk mencuri piksel silang asal dalam penyemak imbas. Serangan baharu mengembangkan konsep ini dengan menggabungkannya dengan API kabur tetingkap Android, membolehkan pencurian piksel daripada apl mangsa.

Proses ini berfungsi seperti berikut:

• Apl berniat jahat menghantar piksel apl mangsa ke saluran paip pemaparan.
• Aktiviti separa lutsinar ditindan menggunakan niat Android untuk menutup, membesarkan dan menghantar piksel yang disasarkan.

• Setiap piksel yang mengandungi data sensitif diasingkan dan diekstrak secara berurutan.

• Ini membolehkan penyerang membina semula kod 2FA atau piksel kandungan sulit lain mengikut piksel.

Mengapa Android Terdedah: Tiga Faktor Pemboleh

Penyelidik mengenal pasti tiga keadaan yang memungkinkan Pixnapping:

• Menyuntik aktiviti daripada apl lain ke dalam saluran paip pemaparan Android.
• Mendorong operasi grafik (seperti kabur) pada piksel ini.
• Mengukur kesan sampingan yang bergantung kepada warna piksel untuk membuat kesimpulan maklumat sensitif.

Maklum Balas dan Kemas Kini Keselamatan Google

Google telah menjejaki Pixnapping di bawah CVE-2025-48561 (CVSS 5.5). Tampalan telah dikeluarkan dalam Buletin Keselamatan Android September 2025, sebahagiannya mengurangkan serangan itu. Tampalan menangani senario di mana pengaburan yang berlebihan boleh digunakan untuk mencuri piksel.

Tampung kedua dijadualkan pada Disember 2025 untuk menutup vektor serangan baharu yang mendayakan semula Pixnapping melalui pelarasan masa. Google menyatakan bahawa eksploitasi memerlukan data khusus peranti dan mengesahkan tiada perisian hasad aktif yang mengeksploitasi kecacatan ini di Google Play.

Risiko Tambahan: Pengesanan Apl dan Implikasi Privasi

Pixnapping juga membenarkan penyerang mengesan apl yang dipasang pada peranti, memintas sekatan yang dilaksanakan sejak Android 11 direka untuk menyembunyikan senarai apl.

Serangan itu menyerlahkan risiko yang wujud pada lapisan aplikasi mudah alih, sistem di mana aplikasi berinteraksi secara meluas merentasi OS. Mengehadkan fungsi aplikasi berlapis sepenuhnya adalah tidak praktikal; sebaliknya, pertahanan mungkin menumpukan pada membenarkan apl sensitif menarik diri dan mengehadkan keupayaan penyerang untuk melakukan pengukuran.

Pengambilan Utama untuk Pengguna

Pixnapping ialah serangan yang sangat tersembunyi yang beroperasi tanpa memerlukan kebenaran apl yang tinggi, menjadikannya sangat berbahaya. Risiko meningkat apabila pengguna memasang apl daripada sumber yang tidak dipercayai, kerana aplikasi berniat jahat boleh mengeksploitasi kelemahan untuk mengakses maklumat sensitif. Walaupun Google telah mengeluarkan tampung separa untuk menangani isu tersebut, mitigasi penuh dijangka pada Disember 2025. Sementara itu, pengguna harus terus berwaspada, memantau dengan teliti apl 2FA mereka dan data sensitif lain untuk sebarang tanda aktiviti luar biasa.