Novoodhalená zraniteľnosť v systéme Android umožňuje škodlivým aplikáciám doslova čítať vašu obrazovku a kradnúť najcitlivejšie údaje, ako sú kódy pre dvojfaktorovú autentifikáciu (2FA), správy z chatov či e-maily. Útok, ktorý jeho objavitelia z radov akademických výskumníkov nazvali „Pixnapping“, dokáže extrahovať dáta za menej ako 30 sekúnd. Najznepokojujúcejšie je, že škodlivá aplikácia na to nepotrebuje žiadať o žiadne špeciálne systémové povolenia.
Ako funguje Pixnapping? Krádež pixelov cez bočný kanál
V jednoduchosti, útok funguje ako keby škodlivá aplikácia robila snímku obrazovky inej aplikácie, no bez toho, aby na to mala povolenie. Využíva na to tzv. bočný kanál v grafickom procesore (GPU), podobne ako starší útok známy ako GPU.zip.
Princíp je nasledovný: Predstavte si, že dokážete zistiť, či je v susednej miestnosti zapnuté svetlo, len meraním tepla, ktoré prechádza cez stenu. Pixnapping robí niečo podobné. Škodlivá aplikácia vykoná na pozadí sériu grafických operácií a presne meria čas, ktorý grafickému procesoru trvá ich vykreslenie. Tento čas sa mikroskopicky líši v závislosti od toho, akú farbu má pixel, ktorý v tom istom momente na obrazovke zobrazuje iná, cielená aplikácia (napríklad Google Authenticator). Opakovaním tohto procesu tisíckrát za sekundu pre rôzne body na obrazovke dokáže útočník pixel po pixeli zrekonštruovať, čo presne sa na displeji zobrazuje – napríklad šesťmiestny kód 2FA.
Čo je v ohrození a ako prebieha útok?
V ohrození je prakticky všetko, čo je viditeľné na obrazovke v momente útoku. Škodlivá aplikácia, ktorú si obeť predtým nainštaluje, dokáže najprv pomocou štandardných Android funkcií prinútiť cielenú aplikáciu (napr. Authenticator), aby sa otvorila a zobrazila citlivé dáta. Následne spustí proces „merania“ pixelov a rekonštrukcie obrazu.
Reakcia Googlu a (ne)úplná oprava
Google bol o zraniteľnosti informovaný a v septembrovom bezpečnostnom bulletine pre Android vydal čiastočnú opravu. Výskumníci však uviedli, že upravená verzia útoku funguje aj po nainštalovaní tejto aktualizácie. Google prisľúbil ďalšiu, komplexnejšiu opravu v decembrovom bulletine, pričom dodal, že zatiaľ nezaznamenal žiadne zneužitie tejto metódy v reálnom svete.
Tento objav je však dôležitým varovaním. Ukazuje, že bezpečnostný model Androidu, ktorý má držať aplikácie striktne oddelené v tzv. „sandboxe“, nie je nepriestrelný a že existujú sofistikované spôsoby, ako tieto bariéry obísť.
