Un espejo invisible en la pantalla de tu Android refleja todo lo que haces y lo entrega a los ciberdelincuentes

Un grupo de investigadores presentó un nuevo tipo de ataque a Android llamado Pixnapping, que permite secuestrar píxeles de la pantalla del teléfono inteligente y reconstruir los datos que se muestran en las aplicaciones. A diferencia de los métodos antiguos basados en navegador, como ataques mediante filtros SVG e iframe, el nuevo esquema eludía por completo todos los mecanismos modernos de protección de los navegadores y permitía extraer secretos de cualquier programa, incluidas aplicaciones no relacionadas con la web.

Pixnapping funciona según el principio de superposición de interfaces en varios niveles. El atacante crea una aplicación maliciosa que, mediante llamadas Intent del sistema, abre la ventana objetivo de otra aplicación y coloca sobre ella una pila de actividades semitransparentes. El sistema Android, en ese caso, combina todas estas capas en una única cadena de renderizado, lo que permite al código malicioso medir los tiempos de dibujo y usar los efectos colaterales de la compresión de datos por la GPU para reconstruir el color de píxeles individuales. De este modo consiguieron recuperar imágenes y texto, incluso si la aplicación estaba en segundo plano o usaba sus propios mecanismos de protección, como Signal o Google Authenticator.

En los experimentos la ataque se probó con éxito en cinco dispositivos: Google Pixel 6, 7, 8, 9 y Samsung Galaxy S25. En los teléfonos de Google los investigadores determinaron que la fuente de la filtración reside en el mecanismo de compresión de gráficos de la GPU Mali, que genera diferencias en el tiempo de renderizado según la saturación de color del bloque. En el Galaxy S25 los investigadores emplearon una versión modificada del ataque que utiliza API ocultas de Android y múltiples zonas de desenfoque para sortear las diferencias en la subsistema gráfico. La precisión media de reconstrucción fue de entre el 86% y el 96%, y la velocidad de filtrado alcanzó hasta dos píxeles por segundo, lo que permitió en varias horas recuperar por completo fragmentos de pantallas de aplicaciones.

Pixnapping abre acceso a contenido que antes se consideraba inaccesible para este tipo de ataques. Los autores pudieron reproducir pantallas con datos personales de Google Account, Gmail, Perplexity AI, así como de aplicaciones como Google Maps, Venmo, Signal, Google Messages y Google Authenticator. En este último caso lograron interceptar códigos de un solo uso de seis dígitos (autenticación de dos factores, 2FA) en menos de 30 segundos, usando una estrategia optimizada de lectura selectiva de píxeles con un algoritmo similar al reconocimiento óptico de caracteres.

Los investigadores señalan que su ataque no requiere permisos, no provoca acciones visibles en pantalla y puede ejecutarse completamente sin que el usuario se dé cuenta. Basta con que la víctima instale una aplicación maliciosa sin sospechar que está recopilando datos de otras aplicaciones. A diferencia de los métodos web anteriores, la nueva implementación no está limitada por la política Same Origin y es capaz de atacar incluso aplicaciones sin conexión.

Los autores del trabajo notificaron la vulnerabilidad a Google el 24 de febrero de 2025. La compañía reconoció el problema, le asignó el identificador CVE-2025-48561 (puntuación CVSS: 5.5) y publicó una corrección el 2 de septiembre. Sin embargo, pocos días después los investigadores encontraron una solución de evasión y notificaron de nuevo a Google y Samsung. En el momento de la publicación, los trabajos para corregir la vulnerabilidad continuaban. El código y las herramientas del estudio están disponibles en el repositorio del proyecto TAC-UCB en GitHub.

Pixnapping demuestra que las restricciones creadas para proteger los navegadores no garantizan la seguridad del ecosistema Android en su conjunto. El mecanismo de superposición de interfaces, que subyace en las aplicaciones móviles, puede convertirse en un nuevo canal de filtración de datos visuales, incluida información financiera, mensajes personales y códigos de autenticación.