Pixnapping: kako hakeri mogu ukrasti 2FA kodove, poruke i mejlove sa Androida

Mobilni telefoni, 14.10.2025, 13:30 PM

Pixnapping: kako hakeri mogu ukrasti 2FA kodove, poruke i mejlove sa Androida

Grupa istraživača sa sa Univerziteta Kalifornije, Berklija, Univerziteta u Vašingtonu i Univerziteta Karnegi Melon otkrila je ozbiljan metod napada nazvan Pixnapping: zlonamerna aplikacija bez posebnih dozvola može „čitati“ ekran druge aplikacije, piksel po piksel, i rekonstruisati osetljive podatke kao što su 2FA kodovi, poruke ili mejlovi.

Nijedan Android uređaj ili aplikacija nije pošteđen od ove nove metode napada. Istraživači su pokazali da funkcioniše na Google i Samsung telefonima i uspeli su da izvuku osetljive podatke iz Gmaila i aplikacija kao što su Signal, Authenticator, Venmo i druge.

Napad funkcioniše tako što korisnik treba da otvori aplikaciju napadača. Zlonamernoj aplikaciji nisu potrebne nikakve Android dozvole ili dalje interakcije sa korisnikom.

Aplikacija napadača zatim iza kulisa tiho pokreće ciljnu aktivnost (npr. Google Authenticator), čeka kratko da se 2FA kod osveži, pa počinje da ga preuzima, piksel po piksel, cifru po cifru.

Pixnapping primorava osetljive piksele da uđu u proces renderovanja koristeći polutransparentne preklopne slojeve i meri vreme renderovanja piksela da bi odredio boju piksela. To omogućava sporu eksfiltraciju - oko 0,6-2,1 piksela u sekundi. To je ipak dovoljno za krađu kratkih kodova (2FA). U napadu koji su demonstrirali istraživači, krađa koda Google Authenticatora trajala je manje od 30 sekundi, dok rekonstrukcija celog Gmail inboxa zahteva sate (10-25 sati).

Istraživači su testirali ranjivost na Androidu 13-16, na Google Pixel modelima 6-9 i Samsung Galaxy S25 i navode da su ja ovakav napad moguć na većini modernih uređaja.

„Konceptualno, to je kao da zlonamerna aplikacija pravi snimak sadržaja ekrana kome ne bi trebalo da ima pristup“, objašnjavaju istraživači.

Google je primio prijavu 24. februara 2025. i objavio privremenu zakrpu ali su istraživači prijavili i moguće zaobilaženje te zakrpe 8. septembra 2025. Google planira dodatno rešenje u decembarskom bezbednosnom biltenu za Android.

Pored toga, u radu istraživača je otkriven i drugi problem: zlonamerne aplikacije mogu otkriti koje su druge aplikacije instalirane na uređaju, što olakšava profilisanje korisnika.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Google uvodi novu zaštitu tokom poziva: Android upozorava na moguće prevare u realnom vremenu

Google uvodi novu zaštitu tokom poziva: Android upozorava na moguće prevare u realnom vremenu

Nekada je bilo lako prepoznati prevaru - loš engleski, čudne poruke, očigledno lažni pošiljaoci. Ali u poslednjih nekoliko godina prevaranti su p... Dalje

Google objavio zakrpe za ranjivosti koje se već koriste u napadima

Google objavio zakrpe za ranjivosti koje se već koriste u napadima

Google je u svom najnovijem Android bezbednosnom biltenu otkrio 107 ranjivosti „nultog dana“ koje pogađaju Android i sve uređaje baziran... Dalje

Albiriox: novi Android bankarski malver daje kriminalcima potpunu kontrolu nad telefonom

Albiriox: novi Android bankarski malver daje kriminalcima potpunu kontrolu nad telefonom

Albiriox je novi Android bankarski malver koji omogućava napadačima potpunu daljinsku kontrolu nad zaraženim telefonom uživo, što je dovoljno da ... Dalje

Android „Quick Share“ sada podržava iOS „AirDrop“ – evo kako da ga bezbedno koristite

Android „Quick Share“ sada podržava iOS „AirDrop“ – evo kako da ga bezbedno koristite

Google je objavio da Androidova funkcija „Quick Share“ sada radi i sa Appleovim AirDrop-om, omogućavajući dvosmernu, direktnu razmenu fa... Dalje

RadzaRat: nevidljivi Android špijun

RadzaRat: nevidljivi Android špijun

Stručnjaci za sajber bezbednost u Certo Software-u otkrili su novi špijunski softver za Android nazvan RadzaRat. Ovaj trojanac je trenutno potpuno n... Dalje