Pesquisadores de segurança revelaram uma nova técnica de ataque sofisticada chamada “Pixnapping”, que pode extrair códigos de autenticação de dois fatores do Google Authenticator e de outros aplicativos móveis confidenciais em menos de 30 segundos.
Pixnapping aproveita recursos fundamentais do sistema de renderização gráfica do Android para criar um ataque de canal lateral que rouba dados de pixel dos aplicativos vítimas.
Ao contrário dos ataques tradicionais de roubo de pixels baseados em navegador, que dependem da incorporação de sites em iframes, essa nova técnica usa as intenções do Android para lançar os aplicativos das vítimas e sobrepõe-lhes atividades semitransparentes controladas pelo invasor.
A vulnerabilidade, rastreada como CVE-2025-48561, representa uma evolução significativa nos ataques de roubo de pixels que contornam as modernas proteções de segurança dos navegadores e ameaçam os usuários do Android em vários fabricantes de dispositivos.
O ataque explora como o serviço SurfaceFlinger do Android combina várias janelas, permitindo que aplicativos maliciosos isolem, ampliem e extraiam pixels individuais dos aplicativos vítimas por meio de operações de desfoque e medições de tempo cuidadosamente orquestradas.
A estrutura opera em três etapas principais. Primeiro, o aplicativo invasor envia intenções do Android para abrir atividades exportadas dos aplicativos vítimas, enviando seus pixels para o pipeline de renderização.
Em segundo lugar, o invasor cria uma pilha de atividades semitransparentes que usam técnicas de mascaramento, ampliação e codificação para calcular pixels individuais das vítimas.
Finalmente, o ataque mede as diferenças de tempo de renderização causadas por otimizações de GPU dependentes de padrões, como compactação de dados gráficos para vazar informações de cores de pixels.
Pesquisadores demonstrado o ataque foi bem-sucedido em dispositivos Google Pixel 6, 7, 8 e 9, bem como em telefones Samsung Galaxy S25, atingindo taxas de vazamento entre 0,15 e 2,11 pixels por segundo, dependendo do dispositivo.
Códigos de autenticação de dois fatores
A demonstração mais alarmante do Pixnapping envolve o roubo de códigos 2FA efêmeros de Autenticador Google antes de expirarem.
Quando o usuário pressiona o botão Voltar na atividade de visualização de e-mail, essa atividade é retirada da pilha de retorno e a atividade da Caixa de entrada é retomada.
intenção explícita para atividadeD.
Usando uma técnica otimizada de estilo OCR que identifica dígitos vazando apenas quatro pixels cuidadosamente escolhidos por dígito, em vez de recuperar imagens inteiras de caracteres, os pesquisadores alcançaram uma taxa de sucesso de 53-73% na recuperação de códigos completos de seis dígitos dentro da janela crítica de atualização de 30 segundos.
Nos dispositivos Google Pixel, o tempo médio de extração variou de 14,3 a 25,8 segundos, com o Pixel 6 tendo o desempenho mais rápido, com média de 14,3 segundos.
O ataque não requer nenhuma habilidade especial Android permissões e opera furtivamente, ocultando atividades maliciosas sob uma camada ligeiramente transparente que exibe conteúdo benigno.
Depois que um usuário instala e inicia o aplicativo invasor, nenhuma interação adicional do usuário é necessária. A técnica se ajusta dinamicamente para fontes de largura variável e espaçamento na interface do Google Authenticator, aguardando o início de um novo intervalo de 30 segundos antes de iniciar o processo de extração para maximizar a janela de tempo disponível.
Embora o ataque ao Google Authenticator represente a demonstração mais urgente, o Pixnapping ameaça uma gama muito mais ampla de dados confidenciais.
Visamos otimizações dependentes de padrão, como GPU.zip, para transmitir o valor do
pixel da vítima.
Além disso, os pesquisadores identificaram 238.036 atividades em 96.783 aplicativos Android que podem ser direcionadas por meio de intenções implícitas, com uma mediana de duas atividades exportadas por aplicativo.
Mitigações
Os pesquisadores divulgaram suas descobertas ao Google em 24 de fevereiro de 2025, recebendo uma classificação de gravidade alta e atribuição CVE. O Google lançou um patch inicial em 2 de setembro de 2025, mas os pesquisadores posteriormente descobriram uma solução alternativa e descobriram que a mitigação não protegia os dispositivos Samsung.
Divulgações de acompanhamento para o Google e Samsung ocorreu em setembro, com a coordenação relativa a mitigações abrangentes ainda em andamento em 13 de outubro de 2025.
A equipe de pesquisa recomenda atingir a segunda condição da estrutura de ataque, evitando cálculos do invasor nos pixels das vítimas, semelhante a como a diretiva da Política de Segurança de Conteúdo dos ancestrais do quadro prejudicou os ataques baseados em navegador.
Uma mitigação proposta permitiria aos desenvolvedores restringir camadas transparentes sobre suas atividades a uma lista de permissões explícita, forçando os aplicativos a aceitarem em vez de ficarem vulneráveis por padrão.
Essa abordagem preservaria o design colaborativo de vários atores das camadas de aplicativos Android, ao mesmo tempo que protegeria aplicativos confidenciais da extração de pixels.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.