آسیب پذیری بحرانی اندروید: سرقت داده های حساس بدون مجوز

پژوهشگران امنیتی موفق به احیای تکنیکی قدیمی برای سرقت داده از مرورگرها شده‌اند که اکنون در قالب حمله‌ای جدید با نام “Pixnapping” دستگاه‌های اندرویدی را هدف قرار می‌دهد. این روش به اپلیکیشن‌های مخرب اجازه می‌دهد تا بدون نیاز به مجوزهای خاص، داده‌های نمایش‌داده‌شده در سایر اپلیکیشن ها یا وب‌سایت‌ها (از جمله اطلاعات حساس در Google Maps، Gmail، Signal، Venmo و حتی کدهای احراز هویت دو مرحله‌ای از Google Authenticator) را سرقت کنند.

مکانیزم Pixnapping از یک کانال جانبی سخت‌افزاری با نام GPU.zip بهره می‌برد و با اندازه‌گیری زمان رندر شدن پیکسل‌ها، محتوای صفحه را به‌صورت پیکسل‌به‌پیکسل بازسازی می‌کند. اگرچه نرخ نشت اطلاعات بین 0.6 تا 2.1 پیکسل در ثانیه است، اما همین مقدار برای بازیابی داده‌های حساس کافی است. این آسیب‌پذیری با شناسه CVE-2025-48561 دستگاه‌هایی با اندروید 13 تا 16 را تحت تأثیر قرار می‌دهد (از جمله مدل‌های پیکسل 6 تا 9 و گلکسی اس 25). وصله‌ای جزئی در سپتامبر 2025 منتشر شده و انتظار می‌رود اصلاح کامل در دسامبر ارائه شود.

اهمیت این آسیب‌پذیری در آن است که نشان می‌دهد حتی حملات قدیمی می‌توانند در قالبی جدید بازگردند. از آنجا که این روش نیازی به مجوز ندارد، یک اپلیکیشن ظاهراً بی‌خطر از Google Play می‌تواند به‌صورت مخفیانه داده‌های حساس را رصد کند. این حمله همچنین بر چالش‌های امنیتی ناشی از کانال‌های جانبی سخت‌افزاری تأکید دارد؛ نشت‌هایی که نه به‌دلیل باگ نرم‌افزاری، بلکه به‌واسطه نحوه پردازش داده توسط سخت‌افزار رخ می‌دهند و شناسایی و رفع آن‌ها بسیار دشوار است.

اگر از دستگاه اندرویدی استفاده می‌کنید، این تحقیق نشان می‌دهد که امکان سرقت داده بدون هیچ اقدام یا هشدار از سوی کاربر وجود دارد. اپلیکیشن ها می‌توانند اطلاعاتی مانند داده‌های بانکی، کدهای احراز هویت یا موقعیت مکانی را تنها با مشاهده فعالیت‌های صفحه نمایش جمع‌آوری کنند. اگرچه گوگل اعلام کرده تاکنون شواهدی از سوءاستفاده مشاهده نشده، اما وجود چنین حمله‌ای نشان می‌دهد که بدافزارها می‌توانند از سدهای امنیتی سنتی عبور کنند.

گوگل در حال ارائه اصلاحاتی برای محدودسازی API مربوط به تاری تصویر و بهبود تشخیص این حملات است، اما پژوهشگران هشدار داده‌اند که راه‌حل‌های جایگزین برای دور زدن این محدودیت‌ها وجود دارد و آسیب‌پذیری GPU.zip همچنان پابرجاست. تا زمان ارائه راه‌حل دائمی، توصیه می‌شود از نصب اپلیکیشن‌های ناشناس خودداری کرده و دستگاه خود را به‌روز نگه دارید. کارشناسان امنیتی پیش‌بینی می‌کنند حملات مشابه مبتنی بر کانال‌های جانبی در آینده افزایش یابد، زیرا مهاجمان این تکنیک‌های پیچیده را بیش‌ازپیش توسعه می‌دهند