- Pixnapping tiasa maok kodeu 2FA sareng data dina layar sanés kirang ti 30 detik tanpa idin.
- Gawéna ku nyalahgunakeun API Android sareng saluran samping GPU pikeun nyimpulkeun piksel tina aplikasi anu sanés.
- Diuji dina Pixel 6-9 sareng Galaxy S25; patch awal (CVE-2025-48561) teu pinuh meungpeuk eta.
- Disarankeun nganggo FIDO2/WebAuthn, ngaleutikan data sénsitip dina layar, sareng ngahindarkeun aplikasi tina sumber anu diragukeun.
Hiji tim peneliti geus wangsit Pixnappinga Téhnik serangan ngalawan telepon Android anu sanggup nangkep naon anu ditampilkeun dina layar sareng ékstrak data pribadi kayaning 2FA Konci, pesen atawa lokasi dina hitungan detik sarta tanpa menta idin.
konci téh nyalahgunakeun API sistem tangtu jeung a saluran samping GPU pikeun deduce eusi piksel nu katingali; prosés téh halimunan tur éféktif salami informasi tetep katingali, bari Rahasia teu ditémbongkeun dina layar teu bisa dipaling. Google geus diwanohkeun mitigations pakait sareng CVE-2025-48561, Tapi pangarang kapanggihna geus nunjukkeun jalur ngajauhan, sarta tulangan salajengna diperkirakeun dina buletin kaamanan Android Désémber.
Naon Pixnapping sareng naha éta janten perhatian?
Nami ngagabungkeun "piksel" sareng "penculikan" sabab serangan sacara harfiah ngajadikeun a "pixel hijacking" pikeun ngarekonstruksikeun inpormasi anu muncul dina aplikasi anu sanés. Éta évolusi téknik saluran samping anu dianggo sababaraha taun ka pengker dina panyungsi, ayeuna diadaptasi kana ékosistem Android modéren kalayan palaksanaan anu langkung lancar, langkung tenang.
Kusabab teu merlukeun idin husus, Pixnapping avoids defenses dumasar kana model idin jeung beroperasi ampir teu katingali, nu ngaronjatkeun resiko pikeun pamaké jeung pausahaan nu ngandelkeun bagian tina kaamanan maranéhanana dina naon mucunghul fleetingly dina layar.
Kumaha serangan dieksekusi
Sacara umum, aplikasi jahat ngatur a kagiatan tumpang tindih tur nyingkronkeun rendering pikeun ngasingkeun wewengkon husus tina panganteur dimana data sénsitip dipintonkeun; teras ngamangpaatkeun bédana waktos nalika ngolah piksel pikeun nyimpulkeun nilaina (tingali kumaha Propil kakuatan mangaruhan FPS).
- Ngabalukarkeun aplikasi target pikeun mintonkeun data (Contona, kode 2FA atawa téks sénsitip).
- Nyumputkeun sadayana kecuali daérah anu dipikaresep sareng ngamanipulasi pigura rendering supados hiji piksel "ngadominasi".
- Interprétasi waktos ngolah GPU (misalna fenomena tipe GPU.zip) jeung rekonstruksi eusi.
Kalayan pangulangan sareng sinkronisasi, malware bakal nyimpulkeun karakter sareng ngarakit deui ngagunakeunana Téhnik OCRJandéla waktos ngawatesan serangan, tapi upami data tetep katingali sababaraha detik, pamulihan tiasa.
Ruang lingkup sareng alat anu kapangaruhan
Akademisi diverifikasi téknik di Google Pixel 6, 7, 8 sareng 9 sareng dina Samsung Galaxy S25, sareng versi Android 13 dugi ka 16. Kusabab API anu dieksploitasi seueur sayogi, aranjeunna ngingetkeun yén "Ampir kabéh Android modern" bisa jadi rentan.
Dina tés nganggo kode TOTP, serangan éta pulih sadayana kode kalayan laju kirang langkung 73%, 53%, 29% jeung 53% on Pixel 6, 7, 8 jeung 9, masing-masing, sarta di kali rata deukeut ka 14,3s; 25,8s; 24,9 jeung 25,3 detik, ngidinan Anjeun pikeun meunang payun ti béakna Konci samentara.
data naon bisa ragrag
Sajaba ti kodeu auténtikasi (Google Authenticator), panalungtik némbongkeun recovery inpormasi tina jasa kayaning Gmail sarta akun Google, aplikasi olahtalatah kayaning Signal, platform finansial kayaning Venmo atawa data lokasi ti Google Maps, Diantarana.
Éta ogé ngingetkeun anjeun ngeunaan data anu tetep dina layar kanggo waktos anu langkung lami, sapertos frasa recovery dompét atawa konci hiji-waktos; kumaha oge, disimpen tapi teu katempo elemen (Contona, konci rusiah nu pernah ditémbongkeun) saluareun lingkup Pixnapping.
Tanggapan Google sareng Status Patch
Pananjung ieu dikomunikasikeun sateuacanna ka Google, anu dilabélan masalah éta parah pisan sareng nyebarkeun mitigasi awal anu aya hubunganana sareng CVE-2025-48561Nanging, peneliti mendakan metode pikeun ngahindarkeunana, janten Patch tambahan parantos dijanjikeun dina buletin Désémber sareng koordinasi sareng Google sareng Samsung dijaga.
Kaayaan ayeuna nunjukkeun yén blok definitif bakal meryogikeun tinjauan kumaha cara Android rendering na overlays antara aplikasi, saprak serangan exploits persis maranéhanana mékanisme internal.
Disarankeun ukuran mitigasi
Pikeun pangguna akhir, disarankeun pikeun ngirangan paparan data sénsitip dina layar sareng milih auténtikasi tahan phishing sareng saluran samping, sapertos FIDO2 / WebAuthn kalayan konci kaamanan, Ngahindarkeun reliance éksklusif on kode TOTP sabisana.
- Jaga alat anjeun tetep diropéa jeung nerapkeun buletin kaamanan pas aranjeunna sadia.
- Hindarkeun masang aplikasi tina sumber unverified jeung idin review sarta kabiasaan anomali.
- Ulah tetep frasa recovery atanapi credentials katingali; resep dompét hardware pikeun ngajaga konci.
- Konci layar gancang jeung ngawatesan sawangan eusi sénsitip.
Pikeun tim produk sareng pamekaran, waktosna marios aliran auténtikasi sarta ngurangan permukaan paparan: ngaleutikan téks rusiah dina layar, ngawanohkeun protections tambahan dina pintonan kritis tur evaluate transisi ka métode bébas kode hardware basis.
Sanajan serangan merlukeun informasi pikeun ditingali, kamampuhna pikeun beroperasi tanpa idin jeung dina waktu kurang ti satengah menit ngajadikeun eta anceman serius: téhnik sisi-kanal nu nyokot kauntungan tina kali rendering GPU maca naon nu katingali dina layar, kalawan mitigations parsial kiwari sarta perbaikan deeper pending.
Abdi mangrupikeun peminat téknologi anu parantos ngajantenkeun minat "geek" janten profési. Kuring parantos nyéépkeun langkung ti 10 taun hirup kuring nganggo téknologi canggih sareng ngintip kalayan sagala jinis program tina rasa panasaran murni. Ayeuna kuring geus husus dina téhnologi komputer jeung video kaulinan. Ieu kusabab pikeun leuwih ti 5 taun kuring geus nulis pikeun sagala rupa situs web on téhnologi jeung video kaulinan, nyieun artikel nu neangan masihan anjeun informasi nu peryogi dina basa anu kaharti ku sarerea.
Upami Anjeun gaduh patarosan, pangaweruh abdi rentang ti sagalana patali jeung sistem operasi Windows ogé Android pikeun handphone. Sareng komitmen abdi ka anjeun, kuring sok daék nyéépkeun sababaraha menit sareng ngabantosan anjeun ngabéréskeun patarosan anu anjeun gaduh di dunya internét ieu.