Pixnapping extrai dados sensíveis no Android

há 6 dias 3

ANUNCIE AQUI

Pesquisadores americanos identificaram uma nova técnica de ataque chamada Pixnapping, capaz de extrair dados sensíveis pixel a pixel em dispositivos Android, sem exigir permissões especiais. A falha permite que um aplicativo malicioso capture informações confidenciais exibidas por outros aplicativos, como códigos de autenticação de dois fatores (MFA), mensagens privadas e dados financeiros, reconstruindo o conteúdo por meio da análise dos pixels em tela.

O ataque explora o sistema de composição gráfica do Android (SurfaceFlinger), mapeando pixels individuais do aplicativo alvo e ampliando-os para facilitar a extração visual. A técnica foi testada e funcionou em diversos modelos modernos, incluindo Google Pixel 6 a 9 e Samsung Galaxy S25, rodando Android versões 13 a 16. Todos se mostraram vulneráveis à extração de dados por canal lateral gráfico.

Mesmo com correção publicada em setembro (CVE-2025-48561), a mitigação foi burlada pelos pesquisadores, que demonstraram a efetividade do ataque em menos de 30 segundos para obtenção de códigos 2FA. Google e Samsung prometeram lançar atualizações mais robustas até dezembro, mas fabricantes de GPU ainda não anunciaram medidas para a falha relacionada ao GPU.zip side-channel.

Apesar do impacto limitado pelo baixo índice de vazamento e da ausência de ataques ativos na Play Store, a vulnerabilidade pode ser explorada em larga escala, afetando várias funções sensíveis de aplicativos populares. Os especialistas alertam que explorações contra outros tipos de dados, como conversas, saldo bancário e informações de localização, podem ser otimizadas para ataques mais rápidos.

Ler artigo completo