Хакерите вече могат да крадат 2FA кодове от смартфони с Android

Android устройствата са уязвими към нова атака, която може тайно да открадне 2FA кодове, хронология на местоположението и други лични данни за по-малко от 30 секунди.

Новата атака, наречена Pixnapping, изисква жертвата първо да инсталира злонамерено приложение на Android телефон или таблет. Приложението, което не изисква системни разрешения, може ефективно да чете данни, които всяко друго инсталирано приложение показва на екрана.

Pixnapping е демонстрирана на телефони Google Pixel и Samsung Galaxy S25 и вероятно може да бъде модифицирано, за да работи и на други модели. Google предприе мерки за смекчаване на риска миналия месец, но модифицирана версия на атаката работи дори и когато актуализацията е инсталирана.

Атаките започват със злонамереното приложение, което извиква Android програмни интерфейси, които карат автентификатора или други целеви приложения да изпращат чувствителна информация на екрана на устройството. След това злонамереното приложение изпълнява графични операции върху отделни пиксели, които представляват интерес за атакуващия. Pixnapping след това използва страничен канал, който позволява на злонамереното приложение да съпостави пикселите на тези координати с букви, цифри или форми.

Така чат съобщения, 2FA кодове, мейл съобщения и т.н. са уязвими, тъй като са видими. Ако приложението съдържа секретна информация, която не е видима (например, има секретен ключ, който се съхранява, но никога не се показва на екрана), тази информация не може да бъде открадната от Pixnapping. Концептуално, това е все едно злонамереното приложение да прави екранна снимка на съдържанието на екрана, до което не би трябвало да има достъп.

Атаката се извършва в три основни стъпки. В първата, злонамереното приложение извиква Android API, които правят повиквания към приложението, което атакуващият иска да шпионира. Тези повиквания могат да се използват и за ефективно сканиране на заразено устройство за инсталирани приложения от интерес. Повикванията могат да накарат целевото приложение да покаже конкретни данни, до които има достъп, като например нишка от съобщения в приложение за съобщения или код за двуфакторна автентификация (2FA) за конкретен сайт. Това води до изпращане на информацията към Android rendering pipeline, системата, която взема пикселите на всяко приложение, за да могат да бъдат визуализирани на екрана.

Във втората стъпка Pixnapping извършва графични операции върху отделни пиксели, които целевото приложение е изпратило към rendering pipeline. Тези операции избират координатите на целевите пиксели, които приложението иска да открадне, и започват да проверяват дали цветът на тези координати е бял или не, или по-общо, дали цветът е c или не-c (за произволен цвят c).

Третата стъпка измерва времето, необходимо за всяка координата. Чрез комбиниране на времената за всяка една от тях, атаката може да възстанови изображенията, изпратени към канала за изобразяване, по един пиксел наведнъж.