Chyba Pixnapping pre Android

Výskumníci v oblasti kybernetickej bezpečnosti identifikovali kritickú zraniteľnosť postihujúcu zariadenia so systémom Android od spoločností Google a Samsung, ktorá sa nazýva Pixnapping. Tento útok bočným kanálom umožňuje škodlivej aplikácii tajne kradnúť citlivé údaje vrátane kódov dvojfaktorového overovania (2FA) a časových osí Máp Google zachytávaním pixelov obrazovky bez vedomia používateľa. Útok funguje na princípe pixel po pixeli, vďaka čomu je veľmi presný a nenápadný.

Ako funguje Pixnapping: Kradnutie pixelov v jadre

Pixnapping je v jadre framework na krádež pixelov, ktorý je navrhnutý tak, aby obchádzal štandardné opatrenia prehliadača a zameriaval sa na aplikácie mimo prehliadača, ako napríklad Google Authenticator. Využíva rozhrania API systému Android a hardvérový bočný kanál na rýchle zachytávanie citlivých informácií, pričom kódy 2FA je možné extrahovať za menej ako 30 sekúnd.

Útok využíva vykresľovací kanál systému Android jedinečným spôsobom:

• Škodlivá aplikácia núti obeť vkladať pixely do vykresľovacieho kanála pomocou intentov systému Android.
• Potom použije zásobník polopriehľadných aktivít systému Android na výpočet týchto pixelov.

Táto metodika odzrkadľuje útoky v štýle „Stone“, ktoré boli predtým obmedzené na prehliadače, a teraz sú prispôsobené pre natívne aplikácie.

Ohrozené zariadenia a rozsah zraniteľnosti

Výskum sa konkrétne zaoberal piatimi zariadeniami od spoločností Google a Samsung s verziami systému Android 13 až 16. Zatiaľ čo iní výrobcovia neboli testovaní, základné princípy útoku existujú na všetkých zariadeniach s Androidom, vďaka čomu je platforma vo veľkej miere zraniteľná.

Je pozoruhodné, že akákoľvek aplikácia pre Android dokáže spustiť Pixnapping bez špeciálnych povolení v manifeste. Útok však vyžaduje, aby obeť nainštalovala a spustila škodlivú aplikáciu, často prostredníctvom sociálneho inžinierstva alebo podvodov.

Technická mechanika: Zneužitie bočných kanálov GPU a rozmazania okien

Pixnapping stavia na predtým zverejnenom bočnom kanáli GPU.zip (september 2023), ktorý využíval funkcie kompresie v integrovaných grafických procesoroch na krádež pixelov z rôznych zdrojov v prehliadačoch. Nový útok rozširuje tento koncept jeho kombináciou s API rozmazania okien systému Android, čo umožňuje krádež pixelov z aplikácií obetí.

Proces funguje nasledovne:

• Škodlivá aplikácia odosiela pixely aplikácie obete do vykresľovacieho kanála.
• Polopriehľadné aktivity sú prekryté pomocou zámerov systému Android na maskovanie, zväčšovanie a prenos cieľových pixelov.

• Každý pixel obsahujúci citlivé údaje je izolovaný a postupne extrahovaný.

• To umožňuje útočníkom rekonštruovať kódy 2FA alebo iný dôverný obsah pixel po pixeli.

Prečo je Android zraniteľný: Tri faktory, ktoré to umožňujú

Výskumníci identifikovali tri podmienky, ktoré umožňujú používanie Pixnappingu:

• Vkladanie aktivít z iných aplikácií do vykresľovacieho kanála systému Android.
• Vyvolanie grafických operácií (ako je rozmazanie) na týchto pixeloch.
• Meranie vedľajších účinkov závislých od farby pixelov na odvodenie citlivých informácií.

Reakcia spoločnosti Google a aktualizácie zabezpečenia

Spoločnosť Google sledovala útok Pixnapping pod kódom CVE-2025-48561 (CVSS 5.5). V septembrovom bulletine o bezpečnosti systému Android zo septembra 2025 bola vydaná oprava, ktorá útok čiastočne zmiernila. Oprava rieši scenáre, v ktorých by sa nadmerné rozmazanie mohlo použiť na krádež pixelov.

Druhá záplata je naplánovaná na december 2025, ktorá má zablokovať nový vektor útoku, ktorý opätovne umožňuje Pixnapping prostredníctvom úprav načasovania. Spoločnosť Google poznamenala, že zneužitie vyžaduje údaje špecifické pre zariadenie a potvrdila, že v obchode Google Play nie je žiadny aktívny malvér, ktorý by túto chybu zneužíval.

Ďalšie riziká: Detekcia aplikácií a dôsledky pre súkromie

Pixnapping tiež umožňuje útočníkovi detekovať nainštalované aplikácie na zariadení a obchádzať obmedzenia zavedené od verzie Android 11, ktoré boli navrhnuté tak, aby skrývali zoznamy aplikácií.

Útok zdôrazňuje riziká spojené s vrstvením mobilných aplikácií, čo je systém, v ktorom aplikácie interagujú vo veľkej miere naprieč operačným systémom. Úplné obmedzenie funkčnosti vrstvených aplikácií je nepraktické; namiesto toho sa obrana môže zamerať na to, aby citlivé aplikácie mohli odhlásiť a obmedziť tak schopnosť útočníkov vykonávať merania.

Kľúčové poznatky pre používateľov

Pixnapping je vysoko nenápadný útok, ktorý funguje bez vyžadovania zvýšených oprávnení aplikácií, čo ho robí obzvlášť zákerným. Riziko sa zvyšuje, keď používatelia inštalujú aplikácie z nedôveryhodných zdrojov, pretože škodlivé aplikácie by mohli zneužiť túto zraniteľnosť na prístup k citlivým informáciám. Hoci spoločnosť Google vydala čiastočné záplaty na riešenie tohto problému, úplné zmiernenie sa očakáva v decembri 2025. Medzitým by používatelia mali zostať ostražití a pozorne sledovať svoje aplikácie 2FA a ďalšie citlivé údaje, či neobjavia akékoľvek známky nezvyčajnej aktivity.