❗️📱 Pixnapping: хакеры могут украсть коды 2FA и личные сообщения с Android-телефонов

Исследователи из ведущих американских университетов 📄 рассказывают про новый класс атак под названием Pixnapping, который позволяет вредоносному приложению на Android тайно извлекать визуальную информацию с экрана других программ или веб-сайтов. Pixnapping фактически предоставляет злоумышленникам возможность делать скрытые "снимки экрана", компрометируя конфиденциальные данные, отображаемые в таких приложениях как 🌐 Google Authenticator, 📲 Signal и 📬 Gmail.

⚠️ В отличие от многих других вредоносных программ, атака Pixnapping не требует никаких специальных разрешений в манифесте приложения, что делает её особенно опасной для рядовых пользователей, которые могут установить вредоносное приложение, не подозревая о его скрытых возможностях.

🥷Атака спроектирована так, чтобы быть абсолютно незаметной для пользователя. Вы не увидите никаких артефактов на экране, мерцаний или замедления работы 📱устройства, пока вредоносное приложение похищает пиксели с вашего экрана.

В своей основе Pixnapping является адаптацией для Android концепции атаки по краже пикселей, представленной 12 лет назад для веб-браузеров. Механизм атаки использует системные Android Intents для принудительной отправки пикселей целевого приложения в конвейер рендеринга операционной системы. Затем вредоносное приложение накладывает поверх стек из полупрозрачных окон (Activities), чтобы инициировать графические операции, такие как размытие, над конкретными пикселями жертвы. Утечка данных происходит через аппаратный побочный канал GPU.zip, который позволяет измерять время рендеринга и, основываясь на зависимых от данных скоростях графической компрессии, с высокой точностью определять цвет каждого пикселя.

📹На видео ресёрчеры демонстрируют то, как им удалось похитить коды двухфакторной аутентификации из Google Authenticator менее чем за 30 секунд.

Исследователи утверждают, что проблема носит архитектурный характер. Единственный надежный способ защиты — дать разработчикам приложений контроль над тем, кто и как может взаимодействовать с их визуальным слоем, по аналогии с тем, как это было сделано в вебе для защиты от кликджекинга и кражи данных из фреймов.

Уязвимости присвоен идентификатор CVE-2025-48561 с оценкой CVSS 5.5. Уязвимость подтверждена на устройствах Google Pixel (6, 7, 8, 9) и Samsung Galaxy S25, работающих на версиях Android с 13 по 16, однако потенциально уязвимы практически все современные Android-устройства.

🛡 Первоначальный патч от Google был выпущен 2 сентября в рамках сентябрьского бюллетеня безопасности Android, однако уже 8 сентября исследователи повторно уведомили компанию об обнаружении способа его обхода.

Первый патч ограничил количество вызовов blur API, которое может инициировать активность. Это временная мера, которую, как и предсказывали исследователи, успешно обошли. Главный тезис исследователей о том, что бороться нужно не с конкретным API, а с самой возможностью межприложенческих вычислений над пикселями.

🛡 Второй патч запланирован на декабрь 2025 года. По словам представителя гугла, якобы в дикой природе Pixnapping-атак пока не замечено.

🛡 Пока лишь рекомендуется поддерживать ОС в актуальном состоянии с помощью обновлений и максимально осторожно относиться к установке сторонних приложений не из Google Play.

Наиболее реалистичный и правильный путь на текущем этапе — изменение архитектуры на программном уровне.

🔒 Внедрение контроля доступа к визуальному слою: дать разработчикам приложений (например, Google Authenticator) возможность в манифесте явно запретить (opt-out) наложение поверх них любых прозрачных активностей.

🔒 Создание API для "защищенного рендеринга": позволить приложению помечать часть своего экрана как "конфиденциальную". При попытке наложения система будет отдавать атакующему не реальные пиксели, а, например, черный прямоугольник.

👆Исследователи обещают обнародовать исходный код, как только появятся исправления.

↘️ https://github.com/TAC-UCB/pixnapping

✋ @Russian_OSINT