网络安全研究人员：新型安卓攻击导致用户屏幕数据被盗——双重身份验证 (2FA) 代码、电子邮件和位置历史记录面临风险

一份研究报告显示，尽管谷歌努力修补漏洞，但 Android 用户仍面临着严重的新威胁。

加州大学伯克利分校、华盛顿大学、加州大学圣地亚哥分校和卡内基梅隆大学的一篇论文详细介绍了“Pixnapping”，这是一种允许恶意应用程序窃取敏感屏幕数据的攻击，包括 2FA 代码、电子邮件和位置历史记录。

研究人员表示，此次攻击利用了 Android 的渲染管道并绕过了浏览器保护。

“恶意应用程序可以通过使用意图打开受害者活动来强制受害者像素进入渲染管道，并使用半透明活动堆栈对这些像素进行计算。

我们演示了一种端到端攻击，能够在 30 秒内从 Google Authenticator 中秘密窃取安全关键且短暂的 2FA 代码。”

尽管谷歌在 9 月 2 日尝试修补该漏洞，但研究人员表示他们已经找到了一种解决方法，并且该补丁并不能完全缓解攻击。

该方法已在 Google Pixel 6、7、8、9 和三星 Galaxy S25 手机上成功测试。

然而，由于“噪音太大”，2FA 代码恢复攻击在 Galaxy 上未能成功，需要进行更多微调才能检索数据。

生成的图像：Midjourney