Pixnapping Android-feil

Forskere innen nettsikkerhet har identifisert en kritisk sårbarhet som påvirker Android-enheter fra Google og Samsung, kalt Pixnapping. Dette sidekanalangrepet lar en ondsinnet app i hemmelighet stjele sensitive data, inkludert tofaktorautentiseringskoder (2FA) og tidslinjer i Google Maps, ved å fange opp skjermpiksler uten brukerens viten. Angrepet opererer piksel for piksel, noe som gjør det svært presist og skjult.

Hvordan Pixnapping fungerer: Pikseltyveri i kjernen

I kjernen er Pixnapping et piksel-stjelende rammeverk designet for å omgå standard nettleserbegrensninger og målrette ikke-nettleserapper som Google Authenticator. Det utnytter Android API-er og en maskinvaresidekanal for å fange opp sensitiv informasjon raskt, og 2FA-koder kan hentes ut på under 30 sekunder.

Angrepet utnytter Androids rendering-pipeline på en unik måte:

• En ondsinnet app tvinger offerpiksler inn i gjengivelsesprosessen ved hjelp av Android-intensjoner.
• Deretter bruker den en stabel med semi-transparente Android-aktiviteter for å beregne på disse pikslene.

Denne metodikken speiler «Stone-style»-angrep som tidligere var begrenset til nettlesere, men som nå er tilpasset for native apper.

Enheter i faresonen og omfanget av sårbarheten

Forskningen undersøkte spesifikt fem Google- og Samsung-enheter som kjører Android-versjoner 13 til 16. Selv om andre produsenter ikke har blitt testet, finnes de underliggende prinsippene for angrepet på alle Android-enheter, noe som gjør plattformen bredt sårbar.

Bemerkelsesverdig nok kan enhver Android-app kjøre Pixnapping uten spesielle tillatelser i manifestet. Angrepet krever imidlertid at offeret installerer og starter den skadelige appen, ofte gjennom sosial manipulering eller lureri.

Teknisk mekanikk: GPU-sidekanaler og utnyttelse av uskarphet i vinduer

Pixnapping bygger på den tidligere avslørte GPU.zip-sidekanalen (september 2023), som utnyttet komprimeringsfunksjoner i integrerte GPU-er for å stjele piksler fra ulike opprinnelser i nettlesere. Det nye angrepet utvider dette konseptet ved å kombinere det med Androids API for uskarphet i vinduer, noe som muliggjør tyveri av piksler fra offerapper.

Prosessen fungerer som følger:

• En ondsinnet app sender offerets apppiksler inn i gjengivelsesprosessen.
• Semi-transparente aktiviteter legges over hverandre ved hjelp av Android-intensjoner for å maskere, forstørre og overføre målrettede piksler.

• Hver piksel som inneholder sensitive data isoleres og ekstraheres sekvensielt.

• Dette lar angripere rekonstruere 2FA-koder eller annet konfidensielt innhold piksel for piksel.

Hvorfor Android er sårbart: Tre muliggjørende faktorer

Forskere identifiserte tre forhold som gjør Pixnapping mulig:

• Injisere aktiviteter fra andre apper i Android-renderingspipeline.
• Indusere grafiske operasjoner (som uskarphet) på disse pikslene.
• Måling av pikselfargeavhengige bivirkninger for å utlede sensitiv informasjon.

Googles svar og sikkerhetsoppdateringer

Google har sporet Pixnapping under CVE-2025-48561 (CVSS 5.5). En oppdatering ble utgitt i Android Security Bulletin fra september 2025, som delvis reduserte angrepet. Oppdateringen adresserer scenarier der overdreven uskarphet kan brukes til å stjele piksler.

En andre oppdatering er planlagt til desember 2025 for å lukke en ny angrepsvektor som reaktiverer Pixnapping via tidsjusteringer. Google bemerket at utnyttelsen krever enhetsspesifikke data og bekreftet ingen aktiv skadelig programvare som utnytter denne feilen på Google Play.

Ytterligere risikoer: Appdeteksjon og personvernkonsekvenser

Pixnapping lar også en angriper oppdage installerte apper på en enhet, og omgå restriksjoner som er implementert siden Android 11, designet for å skjule applister.

Angrepet fremhever risikoene som er forbundet med lagdeling av mobilapper, et system der apper samhandler mye på tvers av operativsystemet. Å begrense funksjonaliteten til lagdelte apper fullstendig er upraktisk. I stedet kan forsvar fokusere på å la sensitive apper velge bort dette og begrense angripernes mulighet til å utføre målinger.

Viktige lærdommer for brukere

Pixnapping er et svært snikende angrep som opererer uten å kreve utvidede apptillatelser, noe som gjør det spesielt snikende. Risikoen øker når brukere installerer apper fra upålitelige kilder, ettersom ondsinnede applikasjoner kan utnytte sårbarheten til å få tilgang til sensitiv informasjon. Selv om Google har gitt ut delvise oppdateringer for å løse problemet, forventes en fullstendig løsning i desember 2025. I mellomtiden bør brukere være årvåkne og overvåke 2FA-appene sine og andre sensitive data nøye for tegn på uvanlig aktivitet.