Ataque “Pixel a Pixel” Rouba Códigos de Autenticação em 2 Fatores no Android
Um grupo de pesquisadores de segurança das Universidades da Califórnia, Carnegie Mellon e Washington descobriu uma falha nos dispositivos Android que permite roubar códigos de autenticação por duas etapas (2FA), linhas do tempo do Google Maps e outros dados sensíveis. O ataque, conhecido como Pixnapping, é um tipo de ataque de canal lateral que explora vulnerabilidades do próprio sistema para realizar atividades maliciosas.
O Pixnapping contorna ferramentas de mitigação de navegadores e redireciona dados de aplicativos como Google Authenticator a partir da API do Android e de um canal lateral no hardware, capturando dados de 2FA em questão de 30 segundos. Os pesquisadores notaram o problema em cinco modelos diferentes de celular, tanto da Google quanto da Samsung, mas o sistema de outras marcas também pode ser infectado.
- O aplicativo malicioso força que pixels da vítima sejam renderizados pela pipeline e aposta na semitransparência do sistema de abas.
- As versões do Android usadas na pesquisa vão da 13 à 16.
- A inovação importante do Pixnapping é que ele entra em execução a partir de qualquer aplicativo, mesmo se o app não tiver permissões especiais garantidas pelo arquivo de manifesto.
O caminho lateral explorado é o GPU.zip, que se aproveita de uma ferramenta de compressão nas GPUs integradas modernas (iGPU) para roubar pixels através de filtros SVG. É usada, também, a API do Android responsável por borrar a tela para renderizar os dados alvo. Em suma, o malware envia pixels dos aplicativos para renderização e os apresenta com uma camada semitransparente, usando o mecanismo que permite a navegação entre aplicativos e atividades no celular.
A Google monitora o problema pelo identificador CVE-2024-48561 e já lançou um patch de correção em setembro. No entanto, foi descoberta uma nova maneira de permitir o Pixnapping, ainda a ser corrigida pela empresa. A falha também permite que hackers saibam se um aplicativo específico está instalado no dispositivo, o que não deveria ser possível desde o Android 11.
Este conteúdo pode conter links de compra.
Fonte: link