Falha no Pixnapping do Android

Pesquisadores de segurança cibernética identificaram uma vulnerabilidade crítica que afeta dispositivos Android do Google e da Samsung, chamada de Pixnapping. Esse ataque paralelo permite que um aplicativo malicioso roube secretamente dados confidenciais, incluindo códigos de autenticação de dois fatores (2FA) e linhas do tempo do Google Maps, capturando pixels da tela sem o conhecimento do usuário. O ataque opera pixel por pixel, o que o torna altamente preciso e furtivo.

Como funciona o Pixnapping: roubo de pixels em sua essência

Em sua essência, o Pixnapping é uma estrutura de roubo de pixels projetada para contornar as mitigações padrão dos navegadores e atingir aplicativos que não sejam navegadores, como o Google Authenticator. Ele utiliza APIs do Android e um canal lateral de hardware para capturar informações confidenciais rapidamente. Os códigos 2FA podem ser extraídos em menos de 30 segundos.

O ataque explora o pipeline de renderização do Android de uma maneira única:

• Um aplicativo malicioso força pixels de vítimas a entrarem no pipeline de renderização usando intenções do Android.
• Em seguida, ele aplica uma pilha de atividades semitransparentes do Android para calcular esses pixels.

Essa metodologia reflete ataques do tipo "Stone", anteriormente limitados a navegadores, agora adaptados para aplicativos nativos.

Dispositivos em risco e escopo da vulnerabilidade

A pesquisa examinou especificamente cinco dispositivos Google e Samsung executando as versões 13 a 16 do Android. Embora outros fabricantes não tenham sido testados, os princípios subjacentes do ataque existem em todos os dispositivos Android, tornando a plataforma amplamente suscetível.

Surpreendentemente, qualquer aplicativo Android pode executar o Pixnapping sem permissões especiais em seu manifesto. No entanto, o ataque exige que a vítima instale e execute o aplicativo malicioso, geralmente por meio de engenharia social ou trapaça.

Mecânica Técnica: Canais Laterais da GPU e Explorações de Desfoque de Janela

O Pixnapping se baseia no canal lateral GPU.zip divulgado anteriormente (setembro de 2023), que utilizava recursos de compressão em GPUs integradas para roubar pixels de origem cruzada em navegadores. O novo ataque expande esse conceito ao combiná-lo com a API de desfoque de janelas do Android, permitindo o roubo de pixels dos aplicativos das vítimas.

O processo funciona da seguinte forma:

• Um aplicativo malicioso envia pixels do aplicativo vítima para o pipeline de renderização.
• Atividades semitransparentes são sobrepostas usando intenções do Android para mascarar, ampliar e transmitir pixels direcionados.

• Cada pixel contendo dados confidenciais é isolado e extraído sequencialmente.

• Isso permite que invasores reconstruam códigos 2FA ou outro conteúdo confidencial pixel por pixel.

Por que o Android é vulnerável: três fatores facilitadores

Os pesquisadores identificaram três condições que tornam o Pixnapping possível:

• Injetando atividades de outros aplicativos no pipeline de renderização do Android.
• Induzindo operações gráficas (como desfoque) nesses pixels.
• Medindo efeitos colaterais dependentes da cor do pixel para inferir informações confidenciais.

Resposta do Google e atualizações de segurança

O Google rastreou o Pixnapping sob a licença CVE-2025-48561 (CVSS 5.5). Um patch foi lançado no Boletim de Segurança do Android de setembro de 2025, mitigando parcialmente o ataque. O patch aborda cenários em que o desfoque excessivo pode ser usado para roubar pixels.

Um segundo patch está previsto para dezembro de 2025 para encerrar um novo vetor de ataque que reativa o Pixnapping por meio de ajustes de tempo. O Google observou que a exploração requer dados específicos do dispositivo e confirmou que não há malware ativo explorando essa falha no Google Play.

Riscos adicionais: Detecção de aplicativos e implicações de privacidade

O Pixnapping também permite que um invasor detecte aplicativos instalados em um dispositivo, ignorando as restrições implementadas desde o Android 11, projetadas para ocultar listas de aplicativos.

O ataque destaca os riscos inerentes à sobreposição de aplicativos móveis, um sistema em que os aplicativos interagem extensivamente em todo o sistema operacional. Restringir totalmente a funcionalidade de aplicativos em camadas é impraticável; em vez disso, as defesas podem se concentrar em permitir que aplicativos sensíveis optem por não participar e limitar a capacidade dos invasores de realizar medições.

Principais conclusões para os usuários

O Pixnapping é um ataque altamente furtivo que opera sem exigir permissões elevadas de aplicativos, o que o torna particularmente insidioso. O risco aumenta quando os usuários instalam aplicativos de fontes não confiáveis, pois aplicativos maliciosos podem explorar a vulnerabilidade para acessar informações confidenciais. Embora o Google tenha lançado patches parciais para resolver o problema, uma mitigação completa é esperada para dezembro de 2025. Enquanto isso, os usuários devem permanecer vigilantes, monitorando de perto seus aplicativos de 2FA e outros dados confidenciais em busca de quaisquer sinais de atividade incomum.