Nem a autenticação de dois fatores escapa desta nova falha do Android
Por Lillian Sibila Dala Costa • Editado por Jones Oliveira |
Pesquisadores estadunidenses da Universidade de Michigan e da CMU descobriram um novo tipo de ataque, chamado Pixnapping, que afeta celulares Android, mais especificamente os fabricados pela Google e Samsung. A vulnerabilidade está no sistema gráfico dos aparelhos, permitindo a captura das informações apresentadas na tela, como códigos de autenticação por dois fatores (2FA).
Entrando em detalhes, os atacantes exploram o SurfaceFlinger, mecanismo interno de renderização de imagens no Android. Ele mapeia, pixel por pixel, o conteúdo que outros aplicativos exibem: no ataque, é usada a técnica conhecida como canal lateral, que burla proteções visuais do sistema e reconstrói informações sensíveis.
Pixnapping e seus truques
Os pesquisadores de segurança da Redbelt Security testaram vários modelos de aparelhos da Google e Samsung, descobrindo a vulnerabilidade em cinco modelos nas versões entre o Android 13 e o 16. Em setembro, uma correção de bug oficial foi lançada (CVE-2025-48561), mas os especialistas conseguiram contornar o patch e voltar a reproduzir o golpe em 30 segundos.
Para que o celular seja invadido, a vítima deve instalar um aplicativo contaminado, que traz arquivos maliciosos. O app criminoso explora a pipeline de renderização do Android e a API de desfoque de janelas para capturar os pixels em segundo plano, uma espécie de espionagem da atividade do usuário.
Descobriu-se que o Pixnapping é capaz de contornar restrições aplicadas desde o Android 11, permitindo que o app verifique a presença de outros aplicativos no sistema: a Google já afirmou que não irá corrigir essa falha, que é considerada bloqueada por padrão. Tanto a Samsung quanto a Google, no entanto, planejam implementar medidas de mitigação da brecha até dezembro.
Marcos Sena, gerente de SOC da Redbelt Security, recomenda que os usuários sempre mantenham o sistema operacional do celular atualizado, evitando baixar aplicativos de fontes não confiáveis. Também calha remover aplicativos suspeitos ou pouco utilizados do aparelho, mantendo apenas o essencial, também preferindo chaves de acesso físicas ao invés de notificações push ou códigos visuais.
Leia também:
- Ataque "pixel a pixel" rouba códigos de autenticação em 2 fatores no Android
- Hacker que invadiu conta de Obama é condenado a pagar R$ 28,8 milhões em Bitcoin
- Clientes do Itaú, Caixa e Santander são alvos de novo malware do WhatsApp
VÍDEO | Google PERDEU para a Apple na grande atualização do Android 16? Mudará a UI de TODOS os celulares?