اكتشف فريق أكاديمي من جامعات كاليفورنيا (بركلي وسان دييغو)، وواشنطن، وكارنيجي ميلون تقنية هجومية جانبية أطلقوا عليها اسم Pixnapping تستهدف أجهزة أندرويد من شركات مثل Google وSamsung، وتمكّن تطبيقًا خبيثًا من اختلاس بيانات حساسة — بما في ذلك رموز المصادقة الثنائية (2FA) وخطوط الزمن في Google Maps — بتتبع البكسل بكسل دون علم المستخدم ودون الحاجة لأذونات خاصة في ملف الـ manifest. أظهر البحث أن التقنية قادرة على استهداف أجهزة تعمل بإصدارات أندرويد من 13 حتى 16، وأن المنهجية الأساسية موجودة في معظم أجهزة النظام.
آلية الهجوم وتقنيات السرقة البيكسلية
تعتمد Pixnapping على استغلال تفاعل عدة عوامل: واجهات برمجة تطبيقات أندرويد التي تسمح بدفع نشاطات تطبيق ضحية إلى خط عرض الرسم (rendering pipeline) عبر intents، واستخدام واجهة تمويه النوافذ (window blur API) لإحداث تأثيرات رسومية قابلة للقياس، واستثمار قناة جانبية في وحدة معالجة الرسوم المدمجة (iGPU) — المعروفة سابقًا من ثغرة GPU.zip التي كشفت عام 2023.
الخطوات باختصار: يقنع المهاجم الضحية بتثبيت وتشغيل تطبيق خبيث (لا يحتاج لأذونات خاصة)، ثم يستدعي التطبيق نشاطًا للتطبيق الهدف ليُدخِل بكسلات الضحية ضمن عملية العرض، يعزل إحداثيات البكسل المستهدفة (مثال: حيث يظهر رمز 2FA) ويستخدم تكديس نشاطات شبه شفافة لتكبير وتعليم وإرسال كل بكسل عبر القناة الجانبية. تتكرر العملية لكل بكسل مستهدف، ما يمكّن المهاجم من استنساخ الصورة الكاملة للمعلومة في أقل من 30 ثانية وفق الدراسة.
التصحيحات، التقييدات، وحالة الاستغلال في البرية
سجلت Google الثغرة تحت المعرف CVE-2025-48561 (درجة CVSS: 5.5) وأصدرت تخفيفات جزئية في نشرة أمان أندرويد لشهر سبتمبر 2025، مؤكدة أنها ستصدر تصحيحًا إضافيًا أكثر شمولًا في نشرة ديسمبر 2025. أوضحت Google أنها لم تجد دليلًا على استغلال ثغرة Pixnapping في البرية عبر متجر Play، لكنها أقرّت بأن أسلوبًا محدثًا لتعديل توقيت العمليات يمكن أن يعيد تمكين الهجوم متجاوزًا بعض التخفيفات.
كما بيّن البحث أن التقنية تتيح للمهاجم — كنتيجة جانبية — التحقق مما إذا كان تطبيق معين مثبتًا على الجهاز، متجاوزةً قيودًا فرضها أندرويد منذ الإصدار 11 على استعلام قائمة التطبيقات. وأشارت Google إلى أنها لن توقف (won’t fix) هذه الفقرة من السلوك في الوقت الراهن. الباحثون خلصوا إلى أن تصميم طبقات التطبيقات في أندرويد يجعل فرض قيود صارمة صعب التطبيق عمليًا، واقترحوا حلولًا مثل تمكين التطبيقات الحساسة من خيار الاستثناء أو تقييد قدرات القياس لدى التطبيقات الثالثة لجعل البراهين المفاهيمية أقل قابلية للاستغلال.
تبعات عملية ومخاطر للمدافعين
تكشف Pixnapping عن خطر أن تكون حواف الواجهة الرسومية ونماذج العرض نفسها مصدرًا لتسريب معلومات حساسة، حتى لو لم تُمنح التطبيقات أذونات خاصة. الخطر يتضاعف لأن الهجوم لا يحتاج ثغرة في تطبيق الهدف بحد ذاته بل يعتمد على سلوك نظام العرض والتفاعل بين التطبيقات. هذا يضع متطلبًا جديدًا أمام مطوري ومشغّلي التطبيقات الحساسة: إمكانية خيار الانسحاب من تأثيرات العرض المشتركة، ومراجعة سياسات تثبيت التطبيقات والحدّ من تشغيل أنشطة غير موثوقة في المقدمة، وتعزيز مراقبة سلوكيات التطبيقات التي تطلب تأثيرات رسومية كثيفة أو متكررة.
