Група вчених виявила вразливість операційної системи Android, яка отримала назву Pixnapping. Атака дозволяє витягувати коди двофакторної аутентифікації, особисте листування та дані геолокації із заражених пристроїв.
Для проведення атаки потрібне встановлення шкідливого застосування на влаштування жертви. Особливість методу полягає в тому, що програма не потребує системних дозволів для доступу до даних інших програм. Атака була продемонстрована на смартфонах Google Pixel та Samsung Galaxy S25.
Механізм роботи Pixnapping базується на використанні побічного каналу GPU. zip, що аналізує час рендерингу графічних кадрів. Шкідлива програма через програмні інтерфейси Android викликає цільову програму для відображення конфіденційної інформації на екрані. Потім виконуються графічні операції з окремими пікселями, а виміри часу їх обробки дозволяють визначити колір кожного пікселя і відновити зображення, що відображається.
Ведучий автор дослідження Алан Лінгхао Ван пояснює, що атака відбувається у три етапи. На першому шкідливий додаток викликає цільову програму через API Android. На другому проводяться графічні операції з пікселями для визначення їхнього кольору. На третьому вимірюється час обробки кожної координати відновлення повного зображення.
При тестуванні на телефонах Google Pixel різних моделей атака коректно відновлювала шестизначні коди двофакторної автентифікації з успішністю від 29 до 73% залежно від моделі пристрою. Середній час крадіжки одного коду становив від 14 до 26 секунд, що укладається в 30-секундний період дії коду. На пристрої Samsung Galaxy S25 витягти коди не вдалося через високий рівень перешкод.
Google випустила часткове виправлення вразливості CVE-2025-48561 у вересневому оновленні безпеки Android. Повне усунення проблеми заплановано на грудневий бюлетень безпеки. Представники компанії повідомили, що випадків експлуатації вразливості у реальних умовах не зафіксовано. Джерело