研究人員在 2025 年 ACM 電腦與通訊安全會議上，展示一種名為「Pixnapping」的新型旁路攻擊方式，能在 30 秒內從 Android 裝置竊取敏感螢幕數據。這種攻擊利用 Android 核心 API 和圖像處理單元（GPU）的硬件漏洞，幾乎影響所有現代 Android 手機，而且無需特殊權限。
攻擊原理利用 Android 核心系統
Pixnapping 攻擊利用 Android Intent 系統，該系統容許應用程式無縫啟動其他應用，並結合多層半透明活動覆蓋目標螢幕。惡意應用程式透過發送 Intent 開啟目標應用程式（如 Google Authenticator），然後使用遮罩技術疊加幾乎不可見的視窗，藉此隔離特定像素。這些覆蓋層透過 Android 合成引擎 SurfaceFlinger 應用模糊效果。由於 GPU 數據壓縮（稱為「GPU.zip」）的特性，不同顏色的像素會引致渲染時間的差異。
針對短暫數據的攻擊技術
研究人員針對短暫數據（如雙重驗證碼）改良了該技術，採用類似光學字元辨識（OCR）的探測方法，只需定位 Google Sans 字體中每個數字的 4 個關鍵像素，即可在驗證碼失效前完成重構。測試顯示，研究人員成功從 Google Authenticator 取得雙重驗證碼的成功率介乎 29% 至 73%，視乎裝置型號而定，平均在 30 秒內能成功獲取完整的 6 位數驗證碼。
影響範圍廣泛涉及多個應用
Pixnapping 攻擊的影響範圍除了雙重驗證碼，也能繞過 Signal 螢幕安全防護竊取私密訊息，獲取 Google Maps 的位置歷史記錄以及 Venmo 的交易詳情。研究團隊對 Google Play 中 96,783 款應用程式進行的調查顯示，所有應用程式至少有一個可被 intent 呼叫的匯出活動。網絡分析顯示，Pixnapping 攻擊使 99.3% 的頂級網站面臨風險，遠遠超過舊有的 iframe 攻擊方式。
受影響裝置與版本
研究團隊在 5 款裝置上測試 Pixnapping 攻擊，包括 Google Pixel 6、Pixel 7、Pixel 8、Pixel 9 以及 Samsung Galaxy S25，這些裝置執行 Android 13 至 Android 16 版本（最高至 build id BP3A.250905.014）。雖然尚未確認其他廠商的 Android 裝置是否受影響，但由於攻擊利用的核心機制普遍存在於所有 Android 裝置，因此該漏洞可能影響各大廠商的大量智能手機。
廠商回應與修補進度
Google 已將該漏洞定性為高危（CVE-2025-48561），並於 2025 年 9 月為 Pixel 裝置發布修補程式。Google 嘗試透過限制存取某些 API 緩解問題，但研究團隊其後發現一個應變方法，恢復了攻擊的有效性。截至 2025 年 10 月 13 日，Android 仍然存在此漏洞。Samsung 則認為該漏洞的實現複雜性較高，將其定性為低風險。
專家建議與防護措施
Carnegie Mellon University 助理教授 Riccardo Paccagnella 表示：「概念上，這就如任何應用程式都可以在沒有權限下，對其他應用程式或網站進行截圖，這從根本上違反了 Android 安全模型」。為緩解這種攻擊，專家建議透過應用程式白名單限制透明覆蓋層，並監控異常的應用程式行為。用戶也應及時更新裝置，並仔細檢查應用程式安裝。專家亦建議使用基於硬件的雙重驗證方法，例如 YubiKey。
資料來源：arctechnica
