Pixnapping: схаваная атака, якая фіксуе тое, што вы бачыце на Android

Каманда даследчыкаў выявіла Пікснэпінг, а Тэхніка атакі на тэлефоны Android, здольная захопліваць тое, што адлюстроўваецца на экране, і здабываць асабістыя дадзеныя напрыклад, коды 2FA, паведамленні або месцазнаходжанні за лічаныя секунды і не запытваючы дазволу.

Ключ да злоўжывання пэўнымі сістэмнымі API і бакавы канал графічнага працэсара каб вызначыць змест пікселяў, якія вы бачыце; працэс нябачны і эфектыўны, пакуль інфармацыя застаецца бачнай, у той час як Сакрэты, якія не паказаны на экране, нельга скрасціGoogle увёў меры па змякчэнні наступстваў, звязаныя з CVE-2025-48561але аўтары адкрыцця прадэманстравалі шляхі ўхілення ад шкоды, і чакаецца, што ў снежаньскім бюлетэні бяспекі Android будзе прапанавана дадатковае пацверджанне гэтай інфармацыі.

Што такое пікснепінг і чаму гэта выклікае заклапочанасць?

Назва спалучае ў сабе словы «піксель» і «выкраданне» таму што атака літаральна стварае «выкраданне пікселяў» рэканструяваць інфармацыю, якая з'яўляецца ў іншых праграмах. Гэта развіццё метадаў пабочных каналаў, якія выкарыстоўваліся гады таму ў браўзерах, цяпер адаптаваных да сучаснай экасістэмы Android з больш плаўным і ціхім выкананнем.

Паколькі гэта не патрабуе спецыяльных дазволаў, Пікснапінг пазбягае абарончых механізмаў, заснаваных на мадэлі дазволаў, і працуе амаль незаўважна, што павялічвае рызыку для карыстальнікаў і кампаній, якія часткова абапіраюцца на тое, што мімалётна з'яўляецца на экране.

Як выконваецца атака

Увогуле, шкоднаснае прыкладанне арганізуе перакрываючыяся дзеянні і сінхранізуе рэндэрынг, каб ізаляваць пэўныя вобласці інтэрфейсу, дзе адлюстроўваюцца канфідэнцыйныя дадзеныя; затым выкарыстоўвае розніцу ў часе пры апрацоўцы пікселяў, каб вызначыць іх значэнне (гл. як Профілі харчавання ўплываюць на FPS).

• Прымушае мэтавае прыкладанне адлюстроўваць дадзеныя (напрыклад, код 2FA або канфідэнцыйны тэкст).
• Хавае ўсё, акрамя вобласці цікавасці, і маніпулюе рамкай рэндэрынгу такім чынам, каб адзін піксель «дамінаваў».
• Інтэрпрэтуе час апрацоўкі графічнага працэсара (напрыклад, з'ява тыпу GPU.zip) і аднаўляе змест.

З дапамогай паўтарэння і сінхранізацыі шкоднаснае праграмнае забеспячэнне выводзіць сімвалы і зноў збірае іх, выкарыстоўваючы Метады аптычнага распазнавання сімвалаўЧасавое акно абмяжоўвае атаку, але калі дадзеныя застаюцца бачнымі на працягу некалькіх секунд, аднаўленне магчымае.

Сфера дзеяння і прылады, якія закранаюцца

Навукоўцы праверылі гэту тэхніку ў Google Pixel 6, 7, 8 і 9 і ў Samsung Galaxy S25, з версіямі Android з 13 па 16. Паколькі выкарыстаныя API шырока даступныя, яны папярэджваюць, што «амаль усе сучасныя Android» могуць быць успрымальнымі.

У тэстах з кодамі TOTP атака аднавіла ўвесь код з хуткасцю прыблізна 73%, 53%, 29% і 53% на Pixel 6, 7, 8 і 9 адпаведна, і ў сярэднім за час, блізкі да 14,3 с; 25,8 с; 24,9 с і 25,3 с, што дазваляе вам апярэдзіць заканчэнне тэрміну дзеяння часовых кодаў.

Якія дадзеныя могуць трапляць

Акрамя таго, коды аўтэнтыфікацыі (Google Authenticator)Даследчыкі паказалі, што можна аднавіць інфармацыю з такіх сэрвісаў, як Gmail і акаўнты Google, праграм абмену паведамленнямі, такіх як Signal, фінансавых платформаў, такіх як Venmo, або дадзеных пра месцазнаходжанне з... Карты Googleсярод іншых.

Яны таксама папярэджваюць вас пра дадзеныя, якія застаюцца на экране працяглы час, напрыклад, фразы для аднаўлення кашалька або аднаразовыя ключы; аднак захаваныя, але нябачныя элементы (напрыклад, сакрэтны ключ, які ніколі не паказваецца) выходзяць за рамкі Pixnapping.

Статус адказу Google і патча

Пра выснову загадзя паведамілі ў Google, які адзначыў праблему як вельмі сур'ёзную і апублікаваў першапачатковае рашэнне па яе змякчэнні. CVE-2025-48561Аднак даследчыкі знайшлі спосабы пазбегнуць гэтага, таму У снежаньскім інфармацыйным бюлетэні абяцалі дадатковы патч. і падтрымліваецца каардынацыя з Google і Samsung.

Цяперашняя сітуацыя сведчыць аб тым, што для канчатковага блока спатрэбіцца перагляд таго, як Android спраўляецца з гэтым рэндэрынгу і накладанняў паміж праграмамі, бо атака выкарыстоўвае менавіта гэтыя ўнутраныя механізмы.

Рэкамендаваныя меры па змякчэнні наступстваў

Для канчатковых карыстальнікаў рэкамендуецца паменшыць колькасць канфідэнцыйных дадзеных, якія бачаць на экране, і выкарыстоўваць аўтэнтыфікацыю, устойлівую да фішынгу, і пабочныя каналы, такія як FIDO2/WebAuthn з ключамі бяспекі, пазбягаючы па магчымасці выключнай залежнасці ад кодаў TOTP.

• Падтрымлівайце прыладу ў актуальным стане і ўжываць бюлетэні бяспекі, як толькі яны стануць даступнымі.
• Пазбягайце ўсталёўкі праграм з неправераныя крыніцы і праглядаць дазволы і анамальную паводзіны.
• Не трымайце фразы аднаўлення або ўліковыя дадзеныя навідавоку; аддавайце перавагу апаратныя кашалькі ахоўваць ключы.
• Хутка заблакаваць экран і абмежаваць папярэдні прагляд канфідэнцыйнага кантэнту.

Для каманд па распрацоўцы прадуктаў і прадуктаў самы час праглядзець працэсы аўтэнтыфікацыі і паменшыць паверхню экспазіцыі: мінімізаваць сакрэтны тэкст на экране, увесці дадатковыя меры абароны ў крытычных праглядах і ацаніць пераход да метады без кода апаратна-арыентаваны.

Нягледзячы на ​​тое, што для атакі патрабуецца бачнасць інфармацыі, яе здольнасць працаваць без дазволу і менш чым за паўхвіліны робіць гэта сур'ёзнай пагрозай: тэхніка бакавога канала, якая выкарыстоўвае перавагі Час рэндэрынгу на графічным працэсары чытаць тое, што вы бачыце на экране, з частковымі зменамі сёння і больш глыбокім выпраўленнем, якое чакаецца.

Падобны артыкул:

Galaxy S26 Ultra: Вось як будзе выглядаць новы экран прыватнасці

Альберта Навара

Я энтузіяст тэхналогій, які ператварыў свае інтарэсы "гікаў" у прафесію. Я правёў больш за 10 гадоў свайго жыцця, выкарыстоўваючы перадавыя тэхналогіі і важдаючыся з рознымі праграмамі з чыстай цікаўнасці. Цяпер я спецыялізаваўся на камп'ютарных тэхналогіях і відэагульнях. Гэта таму, што больш за 5 гадоў я працаваў для розных вэб-сайтаў, прысвечаных тэхналогіям і відэагульням, ствараючы артыкулы, якія імкнуцца даць вам неабходную інфармацыю на мове, зразумелай кожнаму.

Калі ў вас ёсць якія-небудзь пытанні, я ведаю ўсё, што звязана з аперацыйнай сістэмай Windows і Android для мабільных тэлефонаў. І я перад вамі абавязаны: я заўсёды гатовы выдаткаваць некалькі хвілін і дапамагчы вам вырашыць любыя пытанні, якія могуць узнікнуць у гэтым свеце Інтэрнэту.