Истражувачите предупредуваат за безбедносен пропуст што им овозможува на апликациите да „гледаат“ што се прикажува на екранот, дури и без посебни дозволи.
Истражувачите од Универзитетот во Калифорнија, Вашингтон и Карнеги Мелон открија нова ранливост во Android системот што им овозможува на апликациите тајно да собираат податоци од екраните на корисниците, вклучувајќи еднократни двофакторски кодови за автентикација (2FA). Нападот се нарекува Pixnapping и засега нема официјален patch.
Според нивниот извештај, злонамерната апликација може да користи специфични графички (GPU) и системски процеси за да ги фати поединечните пиксели на други апликации и да реконструира текст, слики, па дури и кодови за најавување од нив. Нападот работи без да бара дополнителни дозволи, што го прави особено опасен.
Во тестовите, истражувачите беа во можност да извлечат податоци од популарни апликации како што се Gmail, Google Authenticator, Signal и Google Maps на голем број различни Android уреди.
Google и производителите на телефони се известени за откритието, но досега не е објавено решение за целосно спречување на нападот. Проблемот, велат истражувачите, лежи во комбинацијата од начинот на кој Android го обработува приказот на пиксели и компресијата на хардверската графика.
Што можат да направат корисниците?
Инсталирајте апликации само од проверени извори (Google Play).
Отстранете ги сомнителните апликации што сте ги инсталирале неодамна.
Користете хардверски безбедносни клучеви или лозинка наместо класични 2FA кодови каде што е можно.
Останете во тек со безбедносните ажурирања од производителите на телефони и Google.
Истражувачите објавија детали за нападот и технички извештај јавно за да можат производителите да развијат заштита, но предупредуваат дека Pixnapping веројатно ќе биде алатка на злонамерни актери сè додека не биде достапен patch.