- Pixnapping dikare kodên 2FA û daneyên din ên li ser ekranê di nav kêmtirî 30 saniyan de bêyî destûr bidize.
- Ew bi karanîna API-yên Android û kanalek aliyê GPU-yê dixebite da ku pîkselan ji sepanên din derxe holê.
- Li ser Pixel 6-9 û Galaxy S25 hat ceribandin; patch-a destpêkê (CVE-2025-48561) bi tevahî wê asteng nake.
- Pêşniyar tê kirin ku FIDO2/WebAuthn were bikar anîn, daneyên hesas ên li ser ekranê werin kêmkirin, û ji sepanên ji çavkaniyên gumanbar dûr bisekinin.
Tîmek lêkolîneran eşkere kir ku Pixnapping, yek Teknîka êrîşê li ser telefonên Androidê ku dikarin tiştên li ser ekranê têne xuyang kirin bigirin û daneyên taybet derxînin wekî kodên 2FA, peyam an cihan di çend saniyan de û bêyî daxwaza destûrê.
Kilît ew e ku hin API-yên pergalê werin îstismarkirin û Kanala aliyê GPU ji bo derxistina naveroka pîkselên ku hûn dibînin; pêvajo heya ku agahî xuya bimîne nayê dîtin û bibandor e, di heman demê de Sirên ku li ser ekranê nayên nîşandan nayên dizînGoogle kêmkirinên têkildarî destnîşan kiriye CVE-2025-48561, lê nivîskarên vedîtinê rêyên xapandinê nîşan dane, û di bultena ewlehiyê ya Android-ê ya Kanûnê de tê payîn ku piştrastkirinên din werin piştrastkirin.
Pixnapping çi ye û çima ew fikarek e?
Nav "pixel" û "revandin" li hev dicivîne ji ber ku êrîş bi rastî jî di "dizîna pîkselan" ji bo ji nû ve avakirina agahiyên ku di sepanên din de xuya dibin. Ew pêşketinek e ji teknîkên kanala alî yên ku bi salan berê di gerokan de dihatin bikar anîn, niha bi xebitandinek nermtir û bêdengtir li ekosîstema Android-ê ya nûjen hatî adaptekirin.
Ji ber ku ew ne hewceyê destûrên taybetî ye, Pixnapping li ser bingeha modela destûrnameyê ji berevaniyê dûr dikeve û hema hema bi nedîtî dixebite, ku xetereyê ji bo bikarhêner û şîrketên ku beşek ji ewlehiya xwe bi tiştên ku bi awayekî demkî li ser ekranê xuya dibin ve girêdidin, zêde dike.
Êrîş çawa tê kirin
Bi gelemperî, sepanê xerabkar rêk dixe çalakiyên hevbeş û renderkirinê senkronîze dike da ku deverên taybetî yên navrûyê ku daneyên hesas lê têne xuyang kirin veqetîne; dûv re dema ku pîkselan pêvajo dike, cûdahiya demjimêrê bikar tîne da ku nirxa wan texmîn bike (bibînin ka çawa Profîlên hêzê bandorê li FPS dikin).
- Dibe sedema nîşandana daneyan ji hêla sepanê hedef ve (mînak, kodek 2FA an nivîsek hesas).
- Ji bilî qada balkêş her tiştî vedişêre û çarçoveya renderkirinê wisa manîpule dike ku pîkselek "serdest" be.
- Demên pêvajoya GPU şîrove dike (mînak diyardeya cureya GPU.zip) û naverokê ji nû ve ava dike.
Bi dubarekirin û senkronîzekirinê, malware karakteran derdixe û wan ji nû ve kom dike. Teknîkên OCRPencereya demê êrîşê sînordar dike, lê heke daneyên çend saniyan xuya bibin, başbûn mimkun e.
Qad û cîhazên bandordar
Akademîsyenan teknîk di Google Pixel 6, 7, 8 û 9 û di Samsung Galaxy S25, bi guhertoyên Androidê yên 13 heta 16. Ji ber ku API-yên ku hatine bikaranîn bi berfirehî hene, ew hişyar dikin ku "hema hema hemû Androidên nûjen" dikare hestiyar be.
Di ceribandinên bi kodên TOTP de, êrîşê tevahiya kodê bi rêjeyên nêzîkî ... vegerand. 73%, 53%, 29% û 53% li ser Pixel 6, 7, 8 û 9, bi rêzê ve, û di demên navînî yên nêzîkî 14,3 çirke; 25,8 çirke; 24,9 çirke û 25,3 çirke, dihêle hûn beriya bidawîbûna kodên demkî pêşde biçin.
Kîjan dane dikarin bikevin
Ji bilî kodên pejirandinê (Google Authenticator), lêkolîneran nîşan dan ku vegerandina agahiyan ji karûbarên wekî Gmail û hesabên Google, sepanên peyamnêriyê yên wekî Signal, platformên darayî yên wekî Venmo an daneyên cihê ji Google Mapsnav kesên din
Ew her weha we li ser daneyên ku ji bo demên dirêjtir li ser ekranê dimînin, wek mînak, hişyar dikin. hevokên vegerandina berîka an mifteyên yek-carî; lêbelê, hêmanên hilanîn lê nayên dîtin (mînak, mifteyek veşartî ku qet nayê xuyang kirin) ji çarçoveya Pixnapping-ê wêdetir in.
Bersiva Google û Rewşa Patchê
Ev dîtin pêşwext ji Google re hatibû ragihandin, ku pirsgirêk wekî giraniya bilind bi nav kir û çareseriyek destpêkê ya têkildarî wê weşand. CVE-2025-48561Lêbelê, lêkolîneran rêbaz dîtin da ku jê birevin, ji ber vê yekê Di bultena Kanûnê de soza patchek din hatiye dayîn û hevrêziya bi Google û Samsung re tê parastin.
Rewşa heyî nîşan dide ku astengkirinek dawî dê hewceyê nirxandinek li ser ka Android çawa bi kar tîne bike. renderkirin û servekirin di navbera sepanan de, ji ber ku êrîş tam wan mekanîzmayên navxweyî bikar tîne.
Tedbîrên kêmkirinê yên pêşniyarkirî
Ji bo bikarhênerên dawîn, tê pêşniyar kirin ku eşkerekirina daneyên hesas li ser ekranê kêm bikin û pejirandina berxwedêr a phishing û kanalên alî, wek mînak, hilbijêrin. FIDO2/WebAuthn bi mifteyên ewlehiyê reû heta ku mimkun be, ji xwebaweriya bi tenê bi kodên TOTP dûr bisekinin.
- Amûra xwe rojane bihêlin û gava ku bultenên ewlehiyê peyda bibin, bicîh bînin.
- Ji sazkirina sepanan dûr bisekinin ji çavkaniyên neverastkirî û destûr û tevgerên anormal binirxînin.
- Hevokên vegerandinê an jî bawernameyan xuya nekin; tercîh bikin berîkên hardware ji bo parastina mifteyan.
- Ekranê zû kilît bike û pêşdîtinên naveroka hesas sînordar bike.
Ji bo tîmên hilber û pêşveçûnê, dem hatiye ku herikînên pejirandinê binirxînin û rûyê rûberê kêm bikin: nivîsa veşartî li ser ekranê kêm bikin, parastinên zêde di dîtinên krîtîk de bicîh bînin û veguherîna ber bi binirxînin rêbazên bê kod li ser bingeha hardware.
Her çend êrîş hewce dike ku agahî xuya bin jî, şiyana wê ya xebitandinê bê destûr û di nav kêmtirî nîv deqîqeyê de ew dike gefek cidî: teknîkek kanala alîgir ku sûdê ji Demên renderkirina GPU-yê ji bo xwendina tiştên ku hûn li ser ekranê dibînin, bi hin sererastkirinên qismî îro û çareseriyek kûrtir li benda çareseriyê ne.
Ez dilşewatekî teknolojiyê me ku berjewendiyên xwe yên "geek" veguherandiye pîşeyekê. Min zêdetirî 10 sal ji jiyana xwe bi karanîna teknolojiya pêşkeftî derbas kir û ji meraqek paqij bi her cûre bernameyan ve mijûl kir. Niha ez di teknolojiya kompîturê û lîstikên vîdyoyê de pispor bûm. Ji ber ku ji 5 salan zêdetir e ku ez ji bo malperên cihêreng ên li ser teknolojî û lîstikên vîdyoyê dinivîsim, gotarên ku dixwazin agahdariya ku hûn hewce ne bi zimanek ku ji hêla her kesî ve tê fam kirin bidin we diafirînim.
Ger pirsên we hebin, zanîna min ji her tiştê ku bi pergala xebitandina Windows-ê ve û hem jî Android-ê ji bo têlefonên desta ve girêdayî ye diguhere. Û soza min ji we re ye, ez her gav amade me ku çend hûrdeman derbas bikim û ji we re bibe alîkar ku hûn di vê cîhana înternetê de pirsên we hebin çareser bikin.