Pixnapping: Android에서 보이는 모든 것을 캡처하는 은밀한 공격

연구진은 다음과 같은 사실을 밝혔습니다. 픽스내핑, 하나 화면에 표시되는 내용을 캡처하고 개인 데이터를 추출할 수 있는 안드로이드 폰에 대한 공격 기술 2FA 코드, 메시지 또는 위치 등을 몇 초 안에 허가를 요청하지 않고.

핵심은 특정 시스템 API를 남용하는 것입니다. GPU 사이드 채널 당신이 보는 픽셀의 내용을 추론하기 위해; 정보가 보이는 한 그 과정은 보이지 않고 효과적입니다. 화면에 표시되지 않는 비밀은 도난당할 수 없습니다.Google은 다음과 관련된 완화책을 도입했습니다. CVE-2025-48561하지만 이 발견을 한 저자들은 회피 경로를 입증했으며, 12월 안드로이드 보안 공지에서 추가적인 보강이 예상됩니다.

픽스내핑이란 무엇이고 왜 문제가 되나요?

이름 "픽셀"과 "납치"를 결합한 단어입니다. 공격이 문자 그대로 이루어지기 때문에 "픽셀 하이재킹" 다른 앱에 나타나는 정보를 재구성하는 것입니다. 이는 수년 전 브라우저에서 사용되었던 사이드 채널 기술을 발전시킨 것으로, 이제 더 부드럽고 조용한 실행 방식으로 최신 안드로이드 생태계에 맞게 조정되었습니다.

특별한 허가가 필요하지 않으므로, Pixnapping은 권한 모델에 기반한 방어를 피합니다. 거의 보이지 않게 작동한다이는 화면에 잠깐 나타나는 것에 보안의 일부를 의존하는 사용자와 회사의 위험을 증가시킵니다.

공격이 실행되는 방법

일반적으로 악성 앱은 다음을 조율합니다. 중복되는 활동 그리고 민감한 데이터가 표시되는 인터페이스의 특정 영역을 분리하기 위해 렌더링을 동기화합니다. 그런 다음 픽셀을 처리할 때 타이밍 차이를 활용하여 값을 추론합니다(방법 참조). 전원 프로필은 FPS에 영향을 미칩니다.).

• 대상 앱이 데이터를 표시하도록 합니다. (예: 2FA 코드 또는 민감한 텍스트).
• 관심 영역 외의 모든 것을 숨기고 렌더링 프레임을 조작하여 한 픽셀이 "지배"되도록 합니다.
• GPU 처리 시간을 해석합니다 (예: GPU.zip 유형 현상) 그리고 내용을 재구성합니다.

반복과 동기화를 통해 맬웨어는 문자를 추론하고 이를 다시 조립합니다. OCR 기술공격 시간은 제한적이지만, 데이터가 몇 초 동안만 표시되면 복구가 가능합니다.

범위 및 영향을 받는 장치

학자들은 이 기술을 검증했습니다. 구글 픽셀 6, 7, 8 및 9 과의 삼성 갤럭시 S25Android 버전 13~16에서 악용되는 API가 널리 사용 가능하므로 경고합니다. "거의 모든 현대 안드로이드" 감염될 수 있습니다.

TOTP 코드를 사용한 테스트에서 공격은 약 100%의 속도로 전체 코드를 복구했습니다. 73%, 53%, 29%, 53% Pixel 6, 7, 8 및 9에서 각각 평균적으로 다음과 같은 시간이 소요됩니다. 14,3초; 25,8초; 24,9초 및 25,3초임시 코드의 만료일을 미리 알 수 있습니다.

어떤 데이터가 떨어질 수 있나요?

플러스 인증 코드(Google Authenticator)연구자들은 Gmail 및 Google 계정, Signal과 같은 메시징 앱, Venmo와 같은 금융 플랫폼 또는 위치 데이터와 같은 서비스에서 정보를 복구하는 것을 보여주었습니다. Google지도다른 중.

또한 화면에 장시간 표시되는 데이터(예: 지갑 복구 문구 또는 일회용 키입니다. 그러나 저장되었지만 표시되지 않는 요소(예: 표시되지 않는 비밀 키)는 Pixnapping의 범위를 벗어납니다.

Google 대응 및 패치 상태

이 발견 사항은 Google에 미리 전달되었으며 Google은 이 문제를 심각도가 높은 것으로 분류하고 관련 초기 완화 조치를 게시했습니다. CVE-2025-48561그러나 연구자들은 이를 회피하는 방법을 발견했습니다. 12월 뉴스레터에 추가 패치가 약속되었습니다. Google과 Samsung과의 협력도 유지됩니다.

현재 상황은 확실한 차단을 위해서는 Android가 처리하는 방식을 검토해야 한다는 것을 시사합니다. 렌더링 및 오버레이 공격은 바로 이러한 내부 메커니즘을 악용하기 때문에 애플리케이션 간에 발생합니다.

권장되는 완화 조치

최종 사용자의 경우 화면에 민감한 데이터가 노출되는 것을 줄이고 피싱 방지 인증 및 사이드 채널(예: 보안 키를 사용한 FIDO2/WebAuthn가능하면 TOTP 코드에만 의존하지 않도록 합니다.

• 장치를 최신 상태로 유지하세요 보안 공지가 나오는 즉시 적용하세요.
• 다음에서 앱을 설치하지 마십시오. 검증되지 않은 출처 그리고 권한과 비정상적인 동작을 검토합니다.
• 복구 문구나 자격 증명을 표시하지 마십시오. 하드웨어 지갑 열쇠를 보호합니다.
• 화면을 빠르게 잠그세요 민감한 콘텐츠의 미리보기를 제한합니다.

제품 및 개발팀의 경우 이제 다음 단계를 수행해야 합니다. 인증 흐름 검토 노출 표면을 줄입니다. 화면에 비밀 텍스트를 최소화하고 중요한 뷰에서 추가 보호 기능을 도입하고 전환을 평가합니다. 코드 없는 방법 하드웨어 기반.

공격에는 정보가 가시화되어야 하지만 작동 능력은 허락 없이 30초도 안 돼서 심각한 위협이 됩니다. 이를 이용하는 사이드 채널 기술입니다. GPU 렌더링 시간 오늘은 부분적인 완화 조치를 취했고, 더 심층적인 수정이 보류 중이므로 화면에 보이는 내용을 읽어보세요.