Akademska skupina raziskovalcev je odkrila ranljivost, ki omogoča napad na androidne naprave. Z novo obliko napada je z njih mogoče prikrito ukrasti kode za dvostopenjsko preverjanje pristnosti (2FA), zgodovino gibanja uporabnika in druge zasebne podatke. Vse to je mogoče narediti v pičlih 30 sekundah.
Raziskovalci so napad poimenovali pixnapping, začne pa se tako, da uporabnik namesti zlonamerno aplikacijo na telefon ali tablico z operacijskim sistemom android.
Posodobitev ne rešuje problema
Skrb vzbujajoče je, da aplikacija za svoje zlonamerno početje ne potrebuje sistemskih dovoljenj, a kljub temu lahko učinkovito bere podatke, ki jih na zaslonu prikazuje katera koli druga nameščena aplikacija. Raziskovalci so pixnapping uspešno izvedli na telefonih google pixel in samsung galaxy s25, z dodatnim delom pa bi ga verjetno lahko prilagodili tudi za delovanje na drugih modelih. Google je prejšnji mesec izdal popravke, vendar so raziskovalci dejali, da modificirana različica napada deluje, tudi ko je posodobitev nameščena.
Zlonamerna aplikacija prikliče programske vmesnike (API) operacijskega sistema android, ki ciljanim aplikacijam ukažejo, naj občutljive informacije prikažejo na zaslonu naprave. Zlonamerna aplikacija nato izvede grafične operacije na posameznih slikovnih pikah, ki so zanimive za napadalca, in tako prebere prikazane podatke.
Do rešitve bo treba počakati do decembra
»Vse, kar je vidno, ko se ciljna aplikacija odpre, lahko zlonamerna aplikacija ukrade s pomočjo pixnappinga,« so zapisali raziskovalci. »Klepetalna sporočila, kode za dvostopenjsko preverjanje pristnosti, e-poštna sporočila itd. so ranljivi, saj so vidni. Če ima aplikacija skrivne informacije, ki niso vidne (npr. shranjen skrivni ključ, ki ni nikoli prikazan na zaslonu), jih pixnapping ne more ukrasti.«
Ta novi razred napadov spominja na napad GPU.zip iz leta 2023, ki je zlonamernim spletnim mestom omogočal branje uporabniških imen, gesel in drugih občutljivih vizualnih podatkov, prikazanih na drugih spletnih mestih.
Iz Googla so medtem sporočili, da poleg obstoječega popravka, ki blaži nevarnost tovrstnih napadov, pripravljajo še enega, ki pa bo na voljo šele decembra. Hkrati so poudarili, da še niso prišli na sled dokazom, da bi to ranljivost, ki so jo odkrili raziskovalci, tudi dejansko v praksi kdo začel izkoriščati.
