Pixnapping Android-fel

Cybersäkerhetsforskare har identifierat en kritisk sårbarhet som påverkar Android-enheter från Google och Samsung, kallad Pixnapping. Denna sidokanalattack gör det möjligt för en skadlig app att i hemlighet stjäla känsliga data, inklusive tvåfaktorsautentiseringskoder (2FA) och tidslinjer i Google Maps, genom att fånga skärmpixlar utan användarens vetskap. Attacken fungerar pixel för pixel, vilket gör den mycket precis och smygande.

Hur Pixnapping fungerar: Pixelstöld i grunden

I grund och botten är Pixnapping ett pixelstöldande ramverk utformat för att kringgå vanliga webbläsaråtgärder och rikta in sig på appar som inte är webbläsare, till exempel Google Authenticator. Det utnyttjar Android API:er och en hårdvarusidkanal för att snabbt samla in känslig information, och 2FA-koder kan extraheras på under 30 sekunder.

Attacken utnyttjar Androids renderingspipeline på ett unikt sätt:

• En skadlig app tvingar offrets pixlar in i renderingspipelinen med hjälp av Android-intents.
• Sedan tillämpar den en stapel av halvtransparenta Android-aktiviteter för att beräkna på dessa pixlar.

Denna metod speglar "Stone-style"-attacker som tidigare var begränsade till webbläsare, men som nu är anpassade för native appar.

Enheter i riskzonen och sårbarhetens omfattning

Forskningen undersökte specifikt fem Google- och Samsung-enheter med Android-versionerna 13 till 16. Även om andra tillverkare inte har testats, finns de underliggande principerna för attacken på alla Android-enheter, vilket gör plattformen i stort sett mottaglig.

Anmärkningsvärt nog kan vilken Android-app som helst köra Pixnapping utan särskilda behörigheter i sitt manifest. Attacken kräver dock att offret installerar och startar den skadliga appen, ofta genom social ingenjörskonst eller bedrägerier.

Teknisk mekanik: GPU-sidkanaler och utnyttjande av fönsteroskärpa

Pixnapping bygger på den tidigare avslöjade sidokanalen GPU.zip (september 2023), som utnyttjade komprimeringsfunktioner i integrerade GPU:er för att stjäla pixlar från olika ursprung i webbläsare. Den nya attacken utökar detta koncept genom att kombinera det med Androids API för fönsteroskärpa, vilket möjliggör stöld av pixlar från offerappar.

Processen fungerar enligt följande:

• En skadlig app skickar offerappens pixlar in i renderingspipelinen.
• Halvtransparenta aktiviteter läggs över med hjälp av Android-intent för att maskera, förstora och överföra riktade pixlar.

• Varje pixel som innehåller känslig data isoleras och extraheras sekventiellt.

• Detta gör det möjligt för angripare att rekonstruera 2FA-koder eller annat konfidentiellt innehåll pixel för pixel.

Varför Android är sårbart: Tre möjliggörande faktorer

Forskare identifierade tre villkor som gör Pixnapping möjlig:

• Injicera aktiviteter från andra appar i Androids renderingspipeline.
• Inducerar grafiska operationer (som oskärpa) på dessa pixlar.
• Mätning av pixelfärgberoende bieffekter för att härleda känslig information.

Googles svar och säkerhetsuppdateringar

Google har spårat Pixnapping under CVE-2025-48561 (CVSS 5.5). En patch släpptes i Android Security Bulletin från september 2025, vilket delvis mildrade attacken. Patchen åtgärdar scenarier där överdriven oskärpa kan användas för att stjäla pixlar.

En andra patch är planerad till december 2025 för att stänga en ny attackvektor som återaktiverar Pixnapping via tidsjusteringar. Google noterade att utnyttjandet kräver enhetsspecifik data och bekräftade ingen aktiv skadlig kod som utnyttjar denna brist på Google Play.

Ytterligare risker: Appidentifiering och sekretesskonsekvenser

Pixnapping låter också en angripare upptäcka installerade appar på en enhet och kringgå begränsningar som implementerats sedan Android 11, utformade för att dölja applistor.

Attacken belyser de risker som är förknippade med lagerfunktioner i mobilappar, ett system där appar interagerar i stor utsträckning över operativsystemet. Att helt begränsa funktionaliteten i lagerappar är opraktiskt; istället kan försvar fokusera på att låta känsliga appar välja bort detta och begränsa angriparnas förmåga att utföra mätningar.

Viktiga lärdomar för användare

Pixnapping är en mycket smygande attack som fungerar utan att kräva utökade appbehörigheter, vilket gör den särskilt lömsk. Risken ökar när användare installerar appar från opålitliga källor, eftersom skadliga applikationer kan utnyttja sårbarheten för att komma åt känslig information. Även om Google har utfärdat delvisa patchar för att åtgärda problemet, förväntas en fullständig åtgärd i december 2025. Under tiden bör användare vara vaksamma och noggrant övervaka sina 2FA-appar och annan känslig data för tecken på ovanlig aktivitet.