Na Androidu vam tudi 2FA ne pomaga, vseeno vam lahko izmaknejo gesla in sporočila!
Na telefonih z Androidom so odkrili novi stari napad Pixnapping, ki ob namestitvi zlonamerne aplikacije omogoča krajo kod za dvostopenjsko preverjanje pristnosti (2FA) in sporočil. Zlonamerna aplikacija, ki jo mora uporabnik namestiti, ne terja nobenih posebnih privilegijev in pravic, zato bi malokdo pomislil, da je lahko škodljiva.
Napad so demonstrirali tudi na najnovejših napravah Google Pixel in Samsung Galaxy S25, kjer je bila uspešna. Čeprav je Google septembra izdal nekaj popravkov, ti ne ščitijo pred malenkostno spremenjenim načinom napada. Napad so poimenovali Pixnapping in uporablja tako imenovani stranski pristop (side channel), torej s trikom dostopa do podatkov, za katere bi sicer potreboval pravice, ki pa jih nikoli ne zahteva.
V napadu Pixnapping lahko zlonamerna aplikacija zajema zaslonsko sliko katerekoli aplikacije, ne da bi to vedeli. Sporočila, kode za 2FA, elektronska pošta – nič, kar se izpiše na zaslonu, ni varno. Velja pa tudi obratno, saj z napadom ni moč priti do skrivnosti, ki se ne izpišejo na zaslonu.
Zelo podoben napad se je širil že leta 2023, ko so ga poimenovali GPU.zip. Pixnapping uporablja enak pristop, v osnovi pa meri čas, ki je potreben za izris posamezne točke na zaslonu. To pa je odvisno od tega, kaj je že prikazano na zaslonu (ne zaradi zaslona, temveč grafičnega čipa). Zlonamerna aplikacija najprej uporabi API-je, da aktivira aplikacijo, na katero meri, in jo prisili v prikaz želenih informacij. V drugem koraku izvede grafične operacije na posameznih točkah, in sicer preveri, ali so želene barve (npr. bele ali črne). V tretjem koraku aplikacija meri, koliko časa traja izris posamezne točke. To stori tako, da skuša izrisati transparentno sliko in meri, kako se odziva grafični čip.
Napad je sorazmerno hiter, saj so običajno kode 2FA prikazane največ 30 sekund. Zlonamerna aplikacija zato ustrezno poenostavi mrežo in pridobi potrebne informacije, da ugotovi geslo. Zaščita je preprosta - ne nameščajte neznanih in nepotrebnih aplikacij.
