पिक्सनैपिंग: वह गुप्त हमला जो एंड्रॉइड पर आप जो देखते हैं उसे कैप्चर कर लेता है

शोधकर्ताओं की एक टीम ने खुलासा किया है पिक्सनैपिंगएक, एंड्रॉइड फोन के खिलाफ हमला करने की तकनीक जो स्क्रीन पर प्रदर्शित चीज़ों को कैप्चर करने और निजी डेटा निकालने में सक्षम है जैसे 2FA कोड, संदेश या स्थान कुछ ही सेकंड में और बिना अनुमति मांगे.

कुंजी कुछ सिस्टम एपीआई और एक का दुरुपयोग करना है GPU साइड चैनल आपके द्वारा देखे गए पिक्सेल की सामग्री का अनुमान लगाने के लिए; प्रक्रिया अदृश्य और प्रभावी है जब तक जानकारी दृश्यमान रहती है, जबकि स्क्रीन पर न दिखाए गए राज़ चुराए नहीं जा सकते. गूगल ने इससे जुड़े शमन उपाय पेश किए हैं CVE-2025-48561, लेकिन खोज के लेखकों ने बचाव के रास्ते प्रदर्शित किए हैं, और दिसंबर के एंड्रॉइड सुरक्षा बुलेटिन में आगे सुदृढ़ीकरण की उम्मीद है।

पिक्सनैपिंग क्या है और यह चिंता का विषय क्यों है?

नाम "पिक्सेल" और "अपहरण" का संयोजन क्योंकि हमला सचमुच एक बनाता है “पिक्सेल अपहरण” अन्य ऐप्स में दिखाई देने वाली जानकारी को फिर से बनाने के लिए। यह ब्राउज़रों में वर्षों पहले इस्तेमाल की जाने वाली साइड-चैनल तकनीकों का एक विकास है, जिसे अब आधुनिक एंड्रॉइड इकोसिस्टम के लिए और भी सहज और शांत निष्पादन के साथ अनुकूलित किया गया है।

चूंकि इसके लिए विशेष अनुमति की आवश्यकता नहीं होती, पिक्सनैपिंग अनुमति मॉडल पर आधारित सुरक्षा से बचता है और लगभग अदृश्य रूप से संचालित होता है, जो उन उपयोगकर्ताओं और कंपनियों के लिए जोखिम बढ़ाता है जो अपनी सुरक्षा का कुछ हिस्सा स्क्रीन पर दिखाई देने वाली चीज़ों पर निर्भर करते हैं।

हमला कैसे अंजाम दिया जाता है?

सामान्य शब्दों में, दुर्भावनापूर्ण ऐप एक अतिव्यापी गतिविधियाँ और इंटरफ़ेस के विशिष्ट क्षेत्रों को अलग करने के लिए रेंडरिंग को सिंक्रनाइज़ करता है जहां संवेदनशील डेटा प्रदर्शित होता है; फिर पिक्सल को संसाधित करते समय उनके मूल्य का अनुमान लगाने के लिए समय के अंतर का उपयोग करता है (देखें कैसे पावर प्रोफाइल FPS को प्रभावित करते हैं).

• लक्ष्य ऐप को डेटा प्रदर्शित करने का कारण बनता है (उदाहरण के लिए, 2FA कोड या संवेदनशील पाठ)।
• रुचि के क्षेत्र को छोड़कर सब कुछ छुपाता है और रेंडरिंग फ्रेम में हेरफेर करता है ताकि एक पिक्सेल "हावी हो जाए।"
• GPU प्रसंस्करण समय की व्याख्या करता है (उदाहरणार्थ GPU.zip प्रकार की घटना) और सामग्री का पुनर्निर्माण करता है.

पुनरावृत्ति और समन्वयन के साथ, मैलवेयर वर्णों का अनुमान लगाता है और उनका उपयोग करके उन्हें पुनः जोड़ता है OCR तकनीकसमय-सीमा हमले को सीमित करती है, लेकिन यदि डेटा कुछ सेकंड तक दिखाई देता है, तो पुनर्प्राप्ति संभव है।

दायरा और प्रभावित डिवाइस

शिक्षाविदों ने इस तकनीक का सत्यापन किया गूगल पिक्सेल 6, 7, 8 और 9 और में सैमसंग गैलेक्सी S25, एंड्रॉइड संस्करण 13 से 16 के साथ। चूंकि शोषित एपीआई व्यापक रूप से उपलब्ध हैं, इसलिए वे चेतावनी देते हैं कि “लगभग सभी आधुनिक एंड्रॉइड” अतिसंवेदनशील हो सकता है.

TOTP कोड के साथ परीक्षणों में, हमले ने लगभग की दरों के साथ पूरे कोड को पुनर्प्राप्त किया 73%, 53%, 29% और 53% पिक्सेल 6, 7, 8 और 9 पर क्रमशः, और औसत समय के करीब 14,3s; 25,8s; 24,9s और 25,3s, जिससे आप अस्थायी कोड की समाप्ति से पहले ही आगे बढ़ सकते हैं।

कौन सा डेटा गिर सकता है

के अलावा प्रमाणीकरण कोड (Google प्रमाणक)शोधकर्ताओं ने जीमेल और गूगल अकाउंट जैसी सेवाओं, सिग्नल जैसे मैसेजिंग ऐप, वेनमो जैसे वित्तीय प्लेटफॉर्म या अन्य ऐप्स से लोकेशन डेटा की जानकारी की रिकवरी दिखाई। गूगल मैप्सदूसरों के अलावा.

वे आपको उस डेटा के बारे में भी सचेत करते हैं जो स्क्रीन पर लंबे समय तक रहता है, जैसे वॉलेट रिकवरी वाक्यांश या एक बार की कुंजियाँ; हालाँकि, संग्रहीत लेकिन दृश्यमान नहीं होने वाले तत्व (उदाहरण के लिए, एक गुप्त कुंजी जो कभी नहीं दिखाई जाती है) पिक्सनैपिंग के दायरे से बाहर हैं।

Google प्रतिक्रिया और पैच स्थिति

इस निष्कर्ष के बारे में गूगल को पहले ही सूचित कर दिया गया था, जिसने इस मुद्दे को अत्यधिक गंभीर बताया और इससे संबंधित प्रारंभिक निवारण प्रकाशित किया। CVE-2025-48561हालाँकि, शोधकर्ताओं ने इससे बचने के तरीके खोज लिए हैं, इसलिए दिसंबर न्यूज़लेटर में एक अतिरिक्त पैच का वादा किया गया है और गूगल और सैमसंग के साथ समन्वय बनाए रखा जाता है।

वर्तमान स्थिति यह बताती है कि एक निर्णायक ब्लॉक के लिए इस बात की समीक्षा की आवश्यकता होगी कि एंड्रॉइड किस प्रकार से काम करता है रेंडरिंग और ओवरले अनुप्रयोगों के बीच, क्योंकि हमला ठीक उन्हीं आंतरिक तंत्रों का फायदा उठाता है।

अनुशंसित शमन उपाय

अंतिम उपयोगकर्ताओं के लिए, स्क्रीन पर संवेदनशील डेटा के प्रदर्शन को कम करने और फ़िशिंग-प्रतिरोधी प्रमाणीकरण और साइड चैनल जैसे विकल्पों का चयन करने की सलाह दी जाती है सुरक्षा कुंजियों के साथ FIDO2/WebAuthnजब भी संभव हो, TOTP कोड पर विशेष निर्भरता से बचें।

• अपने डिवाइस को अपडेट रखें और सुरक्षा बुलेटिन उपलब्ध होते ही उन्हें लागू करें।
• ऐप्स इंस्टॉल करने से बचें असत्यापित स्रोत और अनुमतियों और असामान्य व्यवहार की समीक्षा करें।
• पुनर्प्राप्ति वाक्यांशों या क्रेडेंशियल्स को दृश्यमान न रखें; प्राथमिकता दें हार्डवेयर वॉलेट चाबियों की रक्षा करने के लिए.
• स्क्रीन को जल्दी से लॉक करें और संवेदनशील सामग्री के पूर्वावलोकन को सीमित करें।

उत्पाद और विकास टीमों के लिए, यह समय है प्रमाणीकरण प्रवाह की समीक्षा करें और एक्सपोज़र सतह को कम करें: स्क्रीन पर गुप्त पाठ को कम करें, महत्वपूर्ण दृश्यों में अतिरिक्त सुरक्षा पेश करें और संक्रमण का मूल्यांकन करें कोड-मुक्त विधियाँ हार्डवेयर-आधारित.

यद्यपि हमले के लिए सूचना का दृश्यमान होना आवश्यक है, फिर भी इसकी संचालन क्षमता बिना अनुमति के और आधे मिनट से भी कम समय में यह एक गंभीर खतरा बन जाता है: एक साइड-चैनल तकनीक जो इसका फायदा उठाती है GPU रेंडरिंग समय स्क्रीन पर जो आप देख रहे हैं उसे पढ़ने के लिए, आज आंशिक शमन के साथ और एक गहन सुधार लंबित है।

संबंधित लेख:

गैलेक्सी S26 अल्ट्रा: नई प्राइवेसी स्क्रीन कुछ ऐसी दिखेगी

अल्बर्टो नवारो

मैं एक प्रौद्योगिकी उत्साही हूं जिसने अपनी "गीक" रुचियों को एक पेशे में बदल दिया है। मैंने अपने जीवन के 10 से अधिक वर्ष अत्याधुनिक तकनीक का उपयोग करने और शुद्ध जिज्ञासा से सभी प्रकार के कार्यक्रमों के साथ छेड़छाड़ करने में बिताए हैं। अब मैंने कंप्यूटर प्रौद्योगिकी और वीडियो गेम में विशेषज्ञता हासिल कर ली है। ऐसा इसलिए है क्योंकि 5 वर्षों से अधिक समय से मैं प्रौद्योगिकी और वीडियो गेम पर विभिन्न वेबसाइटों के लिए लिख रहा हूं, ऐसे लेख बना रहा हूं जो आपको ऐसी भाषा में आवश्यक जानकारी देने का प्रयास करते हैं जो हर किसी के लिए समझ में आती है।

यदि आपके कोई प्रश्न हैं, तो मेरी जानकारी विंडोज ऑपरेटिंग सिस्टम के साथ-साथ मोबाइल फोन के लिए एंड्रॉइड से संबंधित हर चीज तक है। और मेरी प्रतिबद्धता आपके प्रति है, मैं हमेशा कुछ मिनट बिताने और इस इंटरनेट की दुनिया में आपके किसी भी प्रश्न को हल करने में आपकी मदद करने को तैयार हूं।