Pixnapping: Die sluipende aanval wat vasvang wat jy op Android sien

'n Span navorsers het onthul Pixnapping, Een Aanvalstegniek teen Android-fone wat in staat is om vas te lê wat op die skerm vertoon word en privaat data te onttrek soos 2FA-kodes, boodskappe of liggings binne sekondes en sonder om toestemming te vra.

Die sleutel is om sekere stelsel-API's te misbruik en 'n GPU-sykanaal om die inhoud van die pixels wat jy sien af ​​te lei; die proses is onsigbaar en effektief solank die inligting sigbaar bly, terwyl Geheime wat nie op die skerm vertoon word nie, kan nie gesteel word nieGoogle het versagtingsmaatreëls ingestel wat verband hou met CVE-2025-48561, maar die outeurs van die ontdekking het ontduikingsroetes gedemonstreer, en verdere versterking word verwag in die Desember Android-sekuriteitsbulletin.

Wat is Pixnapping en hoekom is dit 'n bron van kommer?

Die naam kombineer "pixel" en "ontvoering" want die aanval maak letterlik 'n "pixel-kaping" om inligting wat in ander toepassings verskyn, te rekonstrueer. Dit is 'n evolusie van sykanaaltegnieke wat jare gelede in blaaiers gebruik is, nou aangepas vir die moderne Android-ekosisteem met gladder, stiller uitvoering.

Aangesien dit nie spesiale permitte benodig nie, Pixnapping vermy verdediging gebaseer op die toestemmingsmodel en werk amper onsigbaar, wat die risiko verhoog vir gebruikers en maatskappye wat 'n deel van hul sekuriteit staatmaak op wat vlietend op die skerm verskyn.

Hoe die aanval uitgevoer word

In die algemeen orkestreer die kwaadwillige toepassing 'n oorvleuelende aktiwiteite en sinchroniseer lewering om spesifieke areas van die koppelvlak te isoleer waar sensitiewe data vertoon word; benut dan die tydsverskil wanneer pixels verwerk word om hul waarde af te lei (sien hoe Kragprofiele beïnvloed FPS).

• Veroorsaak dat die teikenprogram die data vertoon (byvoorbeeld, 'n 2FA-kode of sensitiewe teks).
• Versteek alles behalwe die area van belang en manipuleer die weergaweraam sodat een pixel "domineer".
• Interpreteer GPU-verwerkingstye (bv. GPU.zip tipe verskynsel) en rekonstrueer die inhoud.

Met herhaling en sinchronisasie lei die wanware karakters af en herassembleer hulle met behulp van OCR tegniekeDie tydvenster beperk die aanval, maar as die data vir 'n paar sekondes sigbaar bly, is herstel moontlik.

Omvang en geaffekteerde toestelle

Die akademici het die tegniek geverifieer in Google Pixel 6, 7, 8 en 9 en in die Samsung Galaxy S25, met Android-weergawes 13 tot 16. Aangesien die uitgebuite API's wyd beskikbaar is, waarsku hulle dat "byna alle moderne Androids" vatbaar kan wees.

In toetse met TOTP-kodes het die aanval die hele kode met tempo's van ongeveer herstel 73%, 53%, 29% en 53% op Pixel 6, 7, 8 en 9, onderskeidelik, en in gemiddelde tye naby aan 14,3s; 25,8s; 24,9s en 25,3s, wat jou toelaat om voor die verstryking van tydelike kodes te kom.

Watter data kan val

Benewens verifikasiekodes (Google Authenticator), het navorsers getoon dat inligting herstel kan word vanaf dienste soos Gmail- en Google-rekeninge, boodskapprogramme soos Signal, finansiële platforms soos Venmo of liggingsdata vanaf Google kaarte, Onder andere.

Hulle waarsku jou ook oor data wat vir langer tydperke op die skerm bly, soos frases vir beursieherwinning of eenmalige sleutels; gestoorde maar nie sigbare elemente (bv. 'n geheime sleutel wat nooit gewys word nie) val egter buite die bestek van Pixnapping.

Google-antwoord en -opdateringstatus

Die bevinding is vooraf aan Google gekommunikeer, wat die probleem as hoogs ernstig bestempel het en 'n aanvanklike versagting gepubliseer het wat verband hou met CVE-2025-48561Navorsers het egter metodes gevind om dit te vermy, so 'n Bykomende opdatering is in die Desember-nuusbrief belowe en koördinering met Google en Samsung word gehandhaaf.

Die huidige situasie dui daarop dat 'n definitiewe blok 'n hersiening sal vereis van hoe Android dit hanteer weergawes en oorleggings tussen toepassings, aangesien die aanval juis daardie interne meganismes uitbuit.

Aanbevole versagtingsmaatreëls

Vir eindgebruikers is dit raadsaam om die blootstelling van sensitiewe data op die skerm te verminder en te kies vir phishing-bestande verifikasie en sykanale, soos FIDO2/WebAuthn met sekuriteitsleutels, en vermy waar moontlik uitsluitlik afhanklikheid van TOTP-kodes.

• Hou toestel op datum en sekuriteitsbulletins toepas sodra hulle beskikbaar word.
• Vermy die installering van programme vanaf ongeverifieerde bronne en hersien toestemmings en anomale gedrag.
• Moenie herstelfrases of geloofsbriewe sigbaar hou nie; verkies hardeware beursies om sleutels te bewaak.
• Sluit die skerm vinnig en voorskoue van sensitiewe inhoud beperk.

Vir produk- en ontwikkelingspanne is dit tyd om hersien verifikasievloei en verminder blootstellingsoppervlak: minimaliseer geheime teks op die skerm, stel bykomende beskermings in kritieke aansigte in en evalueer die oorgang na kodevrye metodes hardeware-gebaseerd.

Alhoewel die aanval vereis dat die inligting sigbaar is, is die vermoë om te opereer sonder toestemming en in minder as 'n halwe minuut maak dit 'n ernstige bedreiging: 'n sykanaaltegniek wat voordeel trek uit die GPU-weergawetye om te lees wat jy op die skerm sien, met gedeeltelike versagtings vandag en 'n dieper oplossing hangende.

Verwante artikel:

Galaxy S26 Ultra: Só sal die nuwe privaatheidskerm lyk

Alberto navarro

Ek is 'n tegnologie-entoesias wat sy "geek"-belangstellings in 'n beroep verander het. Ek het meer as 10 jaar van my lewe bestee om die nuutste tegnologie te gebruik en uit pure nuuskierigheid met allerhande programme te peuter. Nou het ek gespesialiseer in rekenaartegnologie en videospeletjies. Dit is omdat ek al vir meer as 5 jaar vir verskeie webwerwe oor tegnologie en videospeletjies skryf en artikels skep wat poog om jou die inligting te gee wat jy nodig het in 'n taal wat vir almal verstaanbaar is.

As jy enige vrae het, strek my kennis van alles wat verband hou met die Windows-bedryfstelsel sowel as Android vir selfone. En my verbintenis is aan jou, ek is altyd bereid om 'n paar minute te spandeer en jou te help om enige vrae op te los wat jy in hierdie internetwêreld mag hê.