Luka w Pixnappingu na Androidzie

Badacze cyberbezpieczeństwa zidentyfikowali krytyczną lukę w zabezpieczeniach urządzeń z systemem Android firm Google i Samsung, zwaną Pixnapping. Ten atak typu side-channel umożliwia złośliwej aplikacji ukrytą kradzież poufnych danych, w tym kodów uwierzytelniania dwuskładnikowego (2FA) i osi czasu Google Maps, poprzez przechwytywanie pikseli ekranu bez wiedzy użytkownika. Atak działa piksel po pikselu, co czyni go niezwykle precyzyjnym i dyskretnym.

Jak działa Pixnapping: kradzież pikseli w centrum uwagi

W swojej istocie Pixnapping to framework do kradzieży pikseli, zaprojektowany w celu omijania standardowych zabezpieczeń przeglądarek i atakowania aplikacji innych niż przeglądarki, takich jak Google Authenticator. Wykorzystuje interfejsy API Androida i sprzętowy kanał boczny do szybkiego przechwytywania poufnych informacji. Kody 2FA można uzyskać w mniej niż 30 sekund.

Atak wykorzystuje unikalny sposób renderowania systemu Android:

• Złośliwa aplikacja wymusza na pikselach ofiary wejście do procesu renderowania, wykorzystując intencje systemu Android.
• Następnie stosuje stos półprzezroczystych aktywności Androida do wykonywania obliczeń na tych pikselach.

Ta metodologia odzwierciedla ataki w stylu „Stone”, które wcześniej ograniczały się do przeglądarek, a obecnie dostosowano do aplikacji natywnych.

Urządzenia zagrożone i zakres podatności

W badaniu przeanalizowano konkretnie pięć urządzeń Google i Samsung z systemem Android w wersji od 13 do 16. Choć nie przetestowano urządzeń innych producentów, podstawowe zasady ataku obowiązują na wszystkich urządzeniach z systemem Android, co sprawia, że platforma ta jest powszechnie podatna na ataki.

Co ciekawe, każda aplikacja na Androida może wykonać atak Pixnapping bez specjalnych uprawnień w swoim manifeście. Jednak atak wymaga od ofiary zainstalowania i uruchomienia złośliwej aplikacji, często za pomocą socjotechniki lub podstępu.

Mechanika techniczna: kanały boczne GPU i eksploit rozmycia okien

Pixnapping bazuje na ujawnionym wcześniej kanale bocznym GPU.zip (z września 2023 r.), który wykorzystywał funkcje kompresji w zintegrowanych procesorach GPU do kradzieży pikseli z różnych źródeł w przeglądarkach. Nowy atak rozszerza tę koncepcję, łącząc ją z interfejsem API rozmycia okien Androida, umożliwiając kradzież pikseli z aplikacji ofiary.

Proces przebiega następująco:

• Złośliwa aplikacja wysyła piksele aplikacji ofiary do kanału renderującego.
• Półprzezroczyste działania są nakładane za pomocą intencji Androida w celu maskowania, powiększania i przesyłania docelowych pikseli.

• Każdy piksel zawierający wrażliwe dane jest izolowany i sekwencyjnie wyodrębniany.

• Umożliwia to atakującym rekonstrukcję kodów 2FA lub innych poufnych treści piksel po pikselu.

Dlaczego Android jest podatny na ataki: trzy czynniki sprzyjające

Naukowcy zidentyfikowali trzy warunki, które umożliwiają Pixnapping:

• Wstrzykiwanie aktywności z innych aplikacji do procesu renderowania w systemie Android.
• Wywoływanie operacji graficznych (np. rozmycia) na tych pikselach.
• Pomiar efektów ubocznych zależnych od koloru pikseli w celu wyciągnięcia poufnych informacji.

Reakcja Google i aktualizacje zabezpieczeń

Google śledziło atak Pixnapping pod kodem CVE-2025-48561 (CVSS 5.5). W biuletynie bezpieczeństwa Androida z września 2025 r. opublikowano poprawkę, która częściowo łagodzi skutki ataku. Poprawka dotyczy scenariuszy, w których nadmierne rozmycie mogłoby zostać wykorzystane do kradzieży pikseli.

Druga poprawka jest planowana na grudzień 2025 r., aby zamknąć nowy wektor ataku, który ponownie włącza Pixnapping poprzez dostosowanie czasu. Google zaznaczyło, że do wykorzystania luki potrzebne są dane specyficzne dla urządzenia i potwierdziło brak aktywnego złośliwego oprogramowania wykorzystującego tę lukę w Google Play.

Dodatkowe zagrożenia: wykrywanie aplikacji i implikacje dla prywatności

Pixnapping umożliwia również atakującemu wykrycie zainstalowanych aplikacji na urządzeniu, omijając ograniczenia wprowadzone od czasów Androida 11, mające na celu ukrywanie list aplikacji.

Atak uwypukla zagrożenia związane z warstwowaniem aplikacji mobilnych, czyli systemem, w którym aplikacje wchodzą w rozległą interakcję w obrębie systemu operacyjnego. Całkowite ograniczenie funkcjonalności warstwowych aplikacji jest niepraktyczne; zamiast tego, mechanizmy obronne mogą skupić się na umożliwieniu wrażliwym aplikacjom rezygnacji z tej funkcji i ograniczeniu możliwości przeprowadzania pomiarów przez atakujących.

Najważniejsze wnioski dla użytkowników

Pixnapping to wysoce ukryty atak, który działa bez konieczności posiadania wysokich uprawnień aplikacji, co czyni go szczególnie podstępnym. Ryzyko wzrasta, gdy użytkownicy instalują aplikacje z niezaufanych źródeł, ponieważ złośliwe aplikacje mogą wykorzystać lukę w zabezpieczeniach, aby uzyskać dostęp do poufnych informacji. Chociaż Google wydało częściowe poprawki rozwiązujące ten problem, pełne złagodzenie zagrożenia jest spodziewane w grudniu 2025 roku. W międzyczasie użytkownicy powinni zachować czujność, uważnie monitorując swoje aplikacje z uwierzytelnianiem dwuskładnikowym (2FA) i inne poufne dane pod kątem oznak nietypowej aktywności.