Principaux renseignements
- Avec Pixnapping, les attaquants peuvent obtenir des données sensibles des appareils Android sans en avoir l’autorisation.
- L’attaque exploite la fonction « intents » d’Android pour reconstruire les informations affichées en extrayant des pixels individuels.
- Bien que Google ait appliqué un correctif, les attaquants contournent régulièrement les protections, ce qui complique la lutte contre les effets du Pixnapping.
Une nouvelle méthode d’attaque appelée « Pixnapping » a été révélée. Elle permet de voler des données sensibles sur les appareils Android sans aucune autorisation. Des chercheurs d’universités de premier plan ont démontré que cette vulnérabilité de haute sévérité affecte pratiquement tous les appareils Android modernes.
Avec Pixnapping, des attaquants peuvent reconstruire des informations sensibles affichées à l’écran d’un appareil Android, comme des mots de passe à usage unique, des messages privés et d’autres données confidentielles. L’attaque exploite le mécanisme des intents d’Android, qui permet aux applications de communiquer entre elles. Une application malveillante peut lancer discrètement l’application cible, comme Google Authenticator, puis extraire des pixels isolés contenant des informations sensibles et les assembler pour révéler le contenu complet.
Une attaque lente mais efficace
Le processus consiste à manipuler les temps de rendu graphique sur le GPU de l’appareil. En mesurant soigneusement ces temps, l’attaquant peut déterminer la couleur de chaque pixel et reconstruire progressivement les données volées. Bien que lente, cette méthode est suffisamment efficace pour extraire des informations sensibles telles que les codes 2FA ou les messages de chat.
Bien que Google ait publié un correctif pour tenter d’atténuer les effets du Pixnapping, des chercheurs ont déjà mis au point une solution de contournement, ce qui souligne le défi permanent que représente la résolution de cette vulnérabilité. Un nouveau correctif est attendu dans le bulletin de sécurité Android de décembre.
L’étude a également révélé une autre vulnérabilité : Les applications Android peuvent identifier d’autres applications installées sur l’appareil, ce qui permet potentiellement à des acteurs malveillants d’établir le profil des utilisateurs en fonction de l’utilisation qu’ils font des applications. (fc)
Suivez également Business AM sur Google Actualités
Si vous souhaitez accéder à tous les articles, abonnez-vous ici!