- Pixnapping povas ŝteli 2FA-kodojn kaj aliajn surekranajn datumojn en malpli ol 30 sekundoj sen permeso.
- Ĝi funkcias misuzante Android-APIojn kaj GPU-flankan kanalon por dedukti pikselojn el aliaj aplikaĵoj.
- Testita sur Pixel 6-9 kaj Galaxy S25; la komenca ĝisdatigo (CVE-2025-48561) ne tute blokas ĝin.
- Estas rekomendinde uzi FIDO2/WebAuthn, minimumigi sentemajn datumojn sur la ekrano, kaj eviti aplikaĵojn el dubindaj fontoj.
Teamo de esploristoj malkaŝis Pikskaptado, a Ataktekniko kontraŭ Android-telefonoj kapablaj kapti tion, kio estas montrata sur la ekrano, kaj ĉerpi privatajn datumojn kiel ekzemple 2FA-kodoj, mesaĝoj aŭ lokoj en kelkaj sekundoj kaj sen peti permeson.
La ŝlosilo estas misuzi certajn sistemajn API-ojn kaj GPU-flanka kanalo dedukti la enhavon de la pikseloj, kiujn vi vidas; la procezo estas nevidebla kaj efika kondiĉe ke la informo restas videbla, dum Sekretoj ne montritaj sur la ekrano ne povas esti ŝtelitajGoogle enkondukis mildigojn asociitajn kun CVE-2025-48561, sed la aŭtoroj de la malkovro montris evitmanierojn, kaj plia plifortigo estas atendata en la decembra Android-sekurecbulteno.
Kio estas Pixnapping kaj kial ĝi estas zorgiga?
La nomo kombinas "pikselon" kaj "kidnapon" ĉar la atako laŭvorte faras "piksela ŝtelo" rekonstrui informojn, kiuj aperas en aliaj aplikaĵoj. Ĝi estas evoluo de flankkanalaj teknikoj uzitaj antaŭ jaroj en retumiloj, nun adaptitaj al la moderna Android-ekosistemo kun pli glata kaj pli kvieta efektivigo.
Ĉar ĝi ne bezonas specialajn permesilojn, Pixnapping evitas defendojn bazitajn sur la permesmodelo kaj funkcias preskaŭ nevideble, kio pliigas la riskon por uzantoj kaj kompanioj, kiuj dependas parton de sia sekureco de tio, kio aperas paseme sur la ekrano.
Kiel la atako estas efektivigita
Ĝenerale, la malica aplikaĵo aranĝas interkovrantaj agadoj kaj sinkronigas bildigon por izoli specifajn areojn de la interfaco kie sentemaj datumoj estas montrataj; poste ekspluatas la tempdiferencon dum prilaborado de pikseloj por dedukti ilian valoron (vidu kiel Potencoprofiloj influas FPS).
- Igas la celan aplikaĵon montri la datumojn (ekzemple, 2FA-kodo aŭ sentema teksto).
- Kaŝas ĉion krom la interesan areon kaj manipulas la bildigan kadron tiel ke unu pikselo "dominas".
- Interpretas GPU-prilaborajn tempojn (ekz. fenomeno de la tipo GPU.zip) kaj rekonstruas la enhavon.
Per ripetado kaj sinkronigado, la malica programaro deduktas signojn kaj rekunmetas ilin uzante OCR-teknikojLa tempofenestro limigas la atakon, sed se la datumoj restas videblaj dum kelkaj sekundoj, reakiro eblas.
Amplekso kaj trafitaj aparatoj
La akademianoj konfirmis la teknikon en Google Pixel 6, 7, 8 kaj 9 y en el Samsung Galaksio S25, kun Android-versioj 13 ĝis 16. Ĉar la ekspluatitaj API-oj estas vaste haveblaj, ili avertas, ke "preskaŭ ĉiuj modernaj Androidoj" povus esti sentema.
En testoj kun TOTP-kodoj, la atako reakiris la tutan kodon kun rapidecoj de proksimume 73%, 53%, 29% kaj 53% sur Pixel 6, 7, 8 kaj 9, respektive, kaj en averaĝaj tempoj proksimaj al 14,3 sekundoj; 25,8 sekundoj; 24,9 sekundoj kaj 25,3 sekundoj, permesante al vi antaŭiri la eksvalidiĝon de provizoraj kodoj.
Kiuj datumoj povas fali
Aldone al aŭtentigaj kodoj (Google Authenticator), esploristoj montris reakiron de informoj el servoj kiel Gmail kaj Google-kontoj, mesaĝaplikaĵoj kiel Signal, financaj platformoj kiel Venmo aŭ lokodatumoj de Google Mapojinteralie.
Ili ankaŭ avertas vin pri datumoj, kiuj restas sur la ekrano dum pli longaj tempodaŭroj, ekzemple frazoj pri reakiro de monujo aŭ unu-fojaj ŝlosiloj; tamen, konservitaj sed ne videblaj elementoj (ekz., sekreta ŝlosilo kiu neniam montriĝas) estas ekster la amplekso de Pixnapping.
Respondo kaj Stato de Pecetoj de Google
La trovo estis komunikita anticipe al Google, kiu etikedis la problemon kiel altan gravecon kaj publikigis komencan mildigon asociitan kun CVE-2025-48561Tamen, esploristoj trovis metodojn por eviti ĝin, do Plia flikaĵo estis promesita en la decembra novaĵletero kaj kunordigo kun Google kaj Samsung estas konservata.
La nuna situacio sugestas, ke definitiva blokado postulos revizion de kiel Android traktas bildigo kaj paŭsaĵoj inter aplikaĵoj, ĉar la atako ekspluatas ĝuste tiujn internajn mekanismojn.
Rekomenditaj mildigaj mezuroj
Por finuzantoj, estas konsilinde redukti la eksponiĝon de sentemaj datumoj sur la ekrano kaj elekti fiŝhok-rezistan aŭtentigon kaj flankajn kanalojn, kiel ekzemple FIDO2/WebAuthn kun sekurecaj ŝlosiloj, evitante dependecon ekskluzive de TOTP-kodoj kiam ajn eble.
- Tenu vian aparaton ĝisdatigita kaj apliku sekurecajn bultenojn tuj kiam ili fariĝas haveblaj.
- Evitu instali aplikaĵojn de nekonfirmitaj fontoj kaj revizii permesojn kaj anomalian konduton.
- Ne tenu videblaj retrovofrazoj aŭ akreditaĵoj; preferu aparataro-monujoj por gardi ŝlosilojn.
- Ŝlosu la ekranon rapide kaj limigi antaŭrigardojn de sentema enhavo.
Por produktaj kaj evoluigaj teamoj, estas tempo reviziu aŭtentigajn fluojn kaj redukti la eksponan surfacon: minimumigi sekretan tekston sur la ekrano, enkonduki pliajn protektojn en kritikaj vidoj kaj taksi la transiron al senkodaj metodoj aparataro-bazita.
Kvankam la atako postulas, ke la informoj estu videblaj, ĝia kapablo funkcii sen permeso kaj en malpli ol duonminuto igas ĝin grava minaco: flankkanala tekniko kiu utiligas la GPU-bildigtempoj por legi tion, kion vi vidas sur la ekrano, kun partaj mildigoj hodiaŭ kaj pli profunda solvo atendanta.
Mi estas teknologientuziasmulo, kiu transformis siajn "geek" interesojn en profesion. Mi pasigis pli ol 10 jarojn de mia vivo uzante avangardan teknologion kaj tuŝante ĉiajn programojn pro pura scivolemo. Nun mi specialiĝis pri komputila teknologio kaj videoludoj. Ĉi tio estas ĉar de pli ol 5 jaroj mi verkas por diversaj retejoj pri teknologio kaj videoludoj, kreante artikolojn, kiuj celas doni al vi la informojn, kiujn vi bezonas en lingvo komprenebla por ĉiuj.
Se vi havas demandojn, mia scio varias de ĉio rilata al la Vindoza operaciumo same kiel Android por poŝtelefonoj. Kaj mia devontigo estas al vi, mi ĉiam pretas pasigi kelkajn minutojn kaj helpi vin solvi ajnajn demandojn, kiujn vi povas havi en ĉi tiu interreta mondo.