Lỗ hổng Pixnapping trên Android

Các nhà nghiên cứu an ninh mạng đã phát hiện ra một lỗ hổng nghiêm trọng ảnh hưởng đến các thiết bị Android của Google và Samsung, được gọi là Pixnapping. Kiểu tấn công kênh phụ này cho phép một ứng dụng độc hại bí mật đánh cắp dữ liệu nhạy cảm, bao gồm mã xác thực hai yếu tố (2FA) và dòng thời gian trên Google Maps, bằng cách chụp ảnh màn hình mà người dùng không hề hay biết. Kiểu tấn công này hoạt động trên từng pixel, khiến nó cực kỳ chính xác và bí mật.

Cách thức hoạt động của Pixnapping: Bản chất của việc đánh cắp điểm ảnh

Về cơ bản, Pixnapping là một nền tảng đánh cắp pixel được thiết kế để vượt qua các biện pháp giảm thiểu trình duyệt tiêu chuẩn và nhắm mục tiêu vào các ứng dụng không phải trình duyệt như Google Authenticator. Pixnapping tận dụng API Android và kênh phụ phần cứng để thu thập thông tin nhạy cảm nhanh chóng, mã 2FA có thể được trích xuất trong vòng chưa đầy 30 giây.

Cuộc tấn công này khai thác đường dẫn kết xuất của Android theo một cách độc đáo:

• Một ứng dụng độc hại sẽ buộc các pixel của nạn nhân vào đường dẫn kết xuất bằng cách sử dụng mục đích của Android.
• Sau đó, nó áp dụng một chồng các hoạt động Android bán trong suốt để tính toán trên các pixel đó.

Phương pháp này phản ánh các cuộc tấn công theo kiểu 'Stone' trước đây chỉ giới hạn ở trình duyệt, hiện đã được điều chỉnh cho các ứng dụng gốc.

Các thiết bị có nguy cơ và phạm vi lỗ hổng

Nghiên cứu đã kiểm tra cụ thể năm thiết bị của Google và Samsung chạy Android phiên bản 13 đến 16. Mặc dù các nhà sản xuất khác chưa được thử nghiệm, nhưng các nguyên tắc cơ bản của cuộc tấn công này tồn tại trên tất cả các thiết bị Android, khiến nền tảng này dễ bị tấn công.

Đáng chú ý, bất kỳ ứng dụng Android nào cũng có thể thực thi Pixnapping mà không cần quyền đặc biệt trong manifest. Tuy nhiên, cuộc tấn công này yêu cầu nạn nhân phải cài đặt và khởi chạy ứng dụng độc hại, thường thông qua kỹ thuật xã hội hoặc thủ đoạn gian lận.

Cơ chế kỹ thuật: Kênh phụ GPU và khai thác làm mờ cửa sổ

Pixnapping được xây dựng dựa trên kênh phụ GPU.zip đã được tiết lộ trước đó (tháng 9 năm 2023), vốn tận dụng các tính năng nén trong GPU tích hợp để đánh cắp pixel gốc chéo trong trình duyệt. Cuộc tấn công mới mở rộng khái niệm này bằng cách kết hợp nó với API làm mờ cửa sổ của Android, cho phép đánh cắp pixel từ các ứng dụng nạn nhân.

Quá trình này diễn ra như sau:

• Một ứng dụng độc hại sẽ gửi các pixel của ứng dụng nạn nhân vào đường dẫn kết xuất.
• Các hoạt động bán trong suốt được phủ lên bằng cách sử dụng ý định Android để che dấu, phóng to và truyền các pixel mục tiêu.

• Mỗi pixel chứa dữ liệu nhạy cảm được phân lập và trích xuất tuần tự.

• Điều này cho phép kẻ tấn công tái tạo mã 2FA hoặc nội dung bí mật khác theo từng pixel.

Tại sao Android dễ bị tấn công: Ba yếu tố kích hoạt

Các nhà nghiên cứu đã xác định được ba điều kiện khiến Pixnapping có thể xảy ra:

• Đưa các hoạt động từ các ứng dụng khác vào quy trình kết xuất Android.
• Tạo ra các hoạt động đồ họa (như làm mờ) trên các điểm ảnh này.
• Đo các tác động phụ phụ thuộc vào màu sắc của điểm ảnh để suy ra thông tin nhạy cảm.

Phản hồi và Cập nhật Bảo mật của Google

Google đã theo dõi Pixnapping theo mã CVE-2025-48561 (CVSS 5.5). Một bản vá đã được phát hành trong Bản tin Bảo mật Android tháng 9 năm 2025, giúp giảm thiểu một phần cuộc tấn công. Bản vá này giải quyết các tình huống trong đó hiệu ứng làm mờ quá mức có thể được sử dụng để đánh cắp điểm ảnh.

Bản vá thứ hai dự kiến phát hành vào tháng 12 năm 2025 để ngăn chặn một phương thức tấn công mới cho phép Pixnapping tái kích hoạt thông qua việc điều chỉnh thời gian. Google lưu ý rằng việc khai thác yêu cầu dữ liệu cụ thể của từng thiết bị và xác nhận không có phần mềm độc hại nào đang hoạt động khai thác lỗ hổng này trên Google Play.

Rủi ro bổ sung: Phát hiện ứng dụng và tác động đến quyền riêng tư

Pixnapping cũng cho phép kẻ tấn công phát hiện các ứng dụng đã cài đặt trên thiết bị, vượt qua các hạn chế được triển khai kể từ khi Android 11 được thiết kế để ẩn danh sách ứng dụng.

Cuộc tấn công này làm nổi bật những rủi ro vốn có của phân lớp ứng dụng di động, một hệ thống mà các ứng dụng tương tác rộng rãi trên toàn bộ hệ điều hành. Việc hạn chế hoàn toàn chức năng ứng dụng phân lớp là không thực tế; thay vào đó, các biện pháp phòng thủ có thể tập trung vào việc cho phép các ứng dụng nhạy cảm từ chối và hạn chế khả năng thực hiện các phép đo của kẻ tấn công.

Những điểm chính cần ghi nhớ cho người dùng

Pixnapping là một cuộc tấn công cực kỳ bí mật, hoạt động mà không yêu cầu quyền ứng dụng cao hơn, khiến nó trở nên đặc biệt nguy hiểm. Nguy cơ tăng lên khi người dùng cài đặt ứng dụng từ các nguồn không đáng tin cậy, vì các ứng dụng độc hại có thể khai thác lỗ hổng để truy cập thông tin nhạy cảm. Mặc dù Google đã phát hành các bản vá một phần để giải quyết vấn đề, nhưng bản vá đầy đủ dự kiến sẽ được tung ra vào tháng 12 năm 2025. Trong thời gian chờ đợi, người dùng nên cảnh giác, theo dõi chặt chẽ ứng dụng 2FA và các dữ liệu nhạy cảm khác để phát hiện bất kỳ dấu hiệu hoạt động bất thường nào.