Pixnapping: kako hakeri mogu ukrasti 2FA kodove, poruke i mejlove sa Androida

Mobilni telefoni, 14.10.2025, 13:30 PM

Grupa istraživača sa sa Univerziteta Kalifornije, Berklija, Univerziteta u Vašingtonu i Univerziteta Karnegi Melon otkrila je ozbiljan metod napada nazvan Pixnapping: zlonamerna aplikacija bez posebnih dozvola može „čitati“ ekran druge aplikacije, piksel po piksel, i rekonstruisati osetljive podatke kao što su 2FA kodovi, poruke ili mejlovi.

Nijedan Android uređaj ili aplikacija nije pošteđen od ove nove metode napada. Istraživači su pokazali da funkcioniše na Google i Samsung telefonima i uspeli su da izvuku osetljive podatke iz Gmaila i aplikacija kao što su Signal, Authenticator, Venmo i druge.

Napad funkcioniše tako što korisnik treba da otvori aplikaciju napadača. Zlonamernoj aplikaciji nisu potrebne nikakve Android dozvole ili dalje interakcije sa korisnikom.

Aplikacija napadača zatim iza kulisa tiho pokreće ciljnu aktivnost (npr. Google Authenticator), čeka kratko da se 2FA kod osveži, pa počinje da ga preuzima, piksel po piksel, cifru po cifru.

Pixnapping primorava osetljive piksele da uđu u proces renderovanja koristeći polutransparentne preklopne slojeve i meri vreme renderovanja piksela da bi odredio boju piksela. To omogućava sporu eksfiltraciju - oko 0,6-2,1 piksela u sekundi. To je ipak dovoljno za krađu kratkih kodova (2FA). U napadu koji su demonstrirali istraživači, krađa koda Google Authenticatora trajala je manje od 30 sekundi, dok rekonstrukcija celog Gmail inboxa zahteva sate (10-25 sati).

Istraživači su testirali ranjivost na Androidu 13-16, na Google Pixel modelima 6-9 i Samsung Galaxy S25 i navode da su ja ovakav napad moguć na većini modernih uređaja.

„Konceptualno, to je kao da zlonamerna aplikacija pravi snimak sadržaja ekrana kome ne bi trebalo da ima pristup“, objašnjavaju istraživači.

Google je primio prijavu 24. februara 2025. i objavio privremenu zakrpu ali su istraživači prijavili i moguće zaobilaženje te zakrpe 8. septembra 2025. Google planira dodatno rešenje u decembarskom bezbednosnom biltenu za Android.

Pored toga, u radu istraživača je otkriven i drugi problem: zlonamerne aplikacije mogu otkriti koje su druge aplikacije instalirane na uređaju, što olakšava profilisanje korisnika.