Pixnapping-Fehler bei Android

Cybersicherheitsforscher haben eine kritische Sicherheitslücke auf Android-Geräten von Google und Samsung entdeckt: Pixnapping. Dieser Seitenkanalangriff ermöglicht es einer bösartigen App, vertrauliche Daten, darunter Zwei-Faktor-Authentifizierungscodes (2FA) und Google Maps-Zeitleisten, heimlich zu stehlen, indem sie Bildschirmpixel ohne Wissen des Nutzers erfasst. Der Angriff erfolgt Pixel für Pixel und ist daher hochpräzise und unauffällig.

So funktioniert Pixnapping: Pixel-Diebstahl im Kern

Im Kern ist Pixnapping ein Pixel-Diebstahl-Framework, das Standard-Browser-Schutzmaßnahmen umgeht und Nicht-Browser-Apps wie Google Authenticator ins Visier nimmt. Es nutzt Android-APIs und einen Hardware-Nebenkanal, um sensible Informationen schnell zu erfassen. 2FA-Codes können in weniger als 30 Sekunden extrahiert werden.

Der Angriff nutzt die Rendering-Pipeline von Android auf einzigartige Weise aus:

• Eine bösartige App zwingt Opferpixel mithilfe von Android-Intents in die Rendering-Pipeline.
• Anschließend wird ein Stapel halbtransparenter Android-Aktivitäten angewendet, um Berechnungen auf diesen Pixeln durchzuführen.

Diese Methodik spiegelt Angriffe im „Stone-Stil“ wider, die zuvor auf Browser beschränkt waren und nun für native Apps angepasst wurden.

Gefährdete Geräte und Ausmaß der Sicherheitsanfälligkeit

Im Rahmen der Untersuchung wurden insbesondere fünf Geräte von Google und Samsung mit den Android-Versionen 13 bis 16 untersucht. Andere Hersteller wurden zwar nicht getestet, doch die dem Angriff zugrunde liegenden Prinzipien sind auf allen Android-Geräten vorhanden, was die Plattform allgemein anfällig macht.

Bemerkenswerterweise kann jede Android-App Pixnapping ohne spezielle Berechtigungen in ihrem Manifest ausführen. Der Angriff erfordert jedoch, dass das Opfer die schädliche App installiert und startet, oft durch Social Engineering oder Tricks.

Technische Mechanik: GPU-Seitenkanäle und Fensterunschärfe-Exploits

Pixnapping baut auf dem bereits im September 2023 veröffentlichten GPU.zip-Nebenkanal auf, der Komprimierungsfunktionen integrierter GPUs nutzte, um Cross-Origin-Pixel in Browsern zu stehlen. Der neue Angriff erweitert dieses Konzept, indem er es mit der Window-Blur-API von Android kombiniert und so den Diebstahl von Pixeln aus den Apps der Opfer ermöglicht.

Der Ablauf ist wie folgt:

• Eine bösartige App sendet Pixel der Opfer-App in die Rendering-Pipeline.
• Halbtransparente Aktivitäten werden mithilfe von Android-Intents überlagert, um gezielte Pixel zu maskieren, zu vergrößern und zu übertragen.

• Jedes Pixel, das sensible Daten enthält, wird isoliert und sequenziell extrahiert.

• Dadurch können Angreifer 2FA-Codes oder andere vertrauliche Inhalte Pixel für Pixel rekonstruieren.

Warum Android anfällig ist: Drei begünstigende Faktoren

Forscher identifizierten drei Bedingungen, die Pixnapping ermöglichen:

• Einfügen von Aktivitäten aus anderen Apps in die Android-Rendering-Pipeline.
• Auslösen grafischer Operationen (wie Unschärfe) auf diesen Pixeln.
• Messen von pixelfarbabhängigen Nebeneffekten, um vertrauliche Informationen abzuleiten.

Googles Reaktion und Sicherheitsupdates

Google hat Pixnapping unter CVE-2025-48561 (CVSS 5.5) verfolgt. Im Android Security Bulletin vom September 2025 wurde ein Patch veröffentlicht, der den Angriff teilweise abschwächt. Der Patch behebt Szenarien, in denen übermäßige Unschärfe zum Diebstahl von Pixeln genutzt werden könnte.

Ein zweiter Patch ist für Dezember 2025 geplant, um einen neuen Angriffsvektor zu schließen, der Pixnapping durch Zeitanpassungen wieder ermöglicht. Google wies darauf hin, dass für die Ausnutzung gerätespezifische Daten erforderlich sind, und bestätigte, dass es bei Google Play keine aktive Schadsoftware gibt, die diese Schwachstelle ausnutzt.

Zusätzliche Risiken: App-Erkennung und Auswirkungen auf die Privatsphäre

Pixnapping ermöglicht es einem Angreifer außerdem, installierte Apps auf einem Gerät zu erkennen und so die seit Android 11 eingeführten Beschränkungen zum Verbergen von App-Listen zu umgehen.

Der Angriff verdeutlicht die Risiken des Layerings mobiler Apps, einem System, bei dem Apps umfassend über das gesamte Betriebssystem hinweg interagieren. Die Funktionalität solcher Layering-Apps vollständig einzuschränken, ist unpraktisch. Stattdessen könnten sich Abwehrmaßnahmen darauf konzentrieren, sensiblen Apps die Möglichkeit zu geben, sich abzumelden und die Möglichkeiten der Angreifer, Messungen durchzuführen, einzuschränken.

Wichtige Erkenntnisse für Benutzer

Pixnapping ist ein äußerst heimlicher Angriff, der ohne erweiterte App-Berechtigungen funktioniert und daher besonders heimtückisch ist. Das Risiko steigt, wenn Nutzer Apps aus nicht vertrauenswürdigen Quellen installieren, da bösartige Anwendungen die Schwachstelle ausnutzen könnten, um auf vertrauliche Informationen zuzugreifen. Google hat zwar Teilpatches zur Behebung des Problems veröffentlicht, eine vollständige Lösung wird jedoch für Dezember 2025 erwartet. In der Zwischenzeit sollten Nutzer wachsam bleiben und ihre 2FA-Apps und andere sensible Daten genau auf Anzeichen ungewöhnlicher Aktivitäten überwachen.