การโจมตี Pixnapping บน Android เปิดเผยข้อมูลบนหน้าจอโดยไม่ขออนุญาต

ในโลกของความปลอดภัยบนมือถือ นักวิจัยได้ค้นพบการโจมตีรูปแบบใหม่ที่ฉลาดแกมโกง โดยให้แอปพลิเคชันประสงค์ร้ายสามารถอ่านสิ่งที่อยู่บนหน้าจอของคุณได้โดยไม่ต้องขอสิทธิ์การเข้าถึงพิเศษใดๆ เทคนิคการโจมตีที่เรียกว่า Pixnapping นี้ ได้จุดประเด็นการอภิปรายอย่างเข้มข้นในหมู่ผู้เชี่ยวชาญด้านความปลอดภัยและผู้ใช้ Android เกี่ยวกับระบบการป้องกันพื้นฐานในอุปกรณ์มือถือของเรา

Pixnapping ขโมยข้อมูลคุณทีละพิกเซลได้อย่างไร

การโจมตีทำงานผ่านกระบวนการสามขั้นตอนที่ซับซ้อน โดยใช้ประโยชน์จากวิธีที่ Android จัดการกับการแสดงผลกราฟิก ขั้นแรก แอปประสงค์ร้ายจะหลอกให้แอปอื่นแสดงข้อมูลสำคัญ เช่น รหัสยืนยันตัวตนสองขั้นตอน (2FA) หรือข้อความส่วนตัว จากนั้นมันจะดำเนินการทางกราฟิกบนพิกเซลแต่ละพิกเซล ในขณะที่วัดความแตกต่างของเวลาที่เล็กน้อยในการเรนเดอร์พิกเซลแต่ละพิกเซล สุดท้าย โดยการรวมการวัดเวลาเหล่านี้เข้าด้วยกัน ผู้โจมตีสามารถสร้างภาพสิ่งที่อยู่บนหน้าจอของคุณขึ้นใหม่ได้อย่างช้าๆ ทีละพิกเซล

สิ่งที่ทำให้เรื่องนี้น่ากังวลเป็นพิเศษสำหรับชุมชนด้านความปลอดภัยคือ แอปประสงค์ร้ายไม่จำเป็นต้องมีสิทธิ์การเข้าถึงพิเศษใดๆ บน Android เพื่อดำเนินการโจมตีนี้ ตามที่ผู้แสดงความคิดเห็นหนึ่งระบุไว้ ประเด็นสำคัญที่น่าสังเกตคือแอปไม่จำเป็นต้องขอสิทธิ์ใดๆ ผมคิดว่าแอปต่างๆ ควรถูกกั้นกันเหมือนมีไฟร์วอลล์ เว้นแต่จะได้รับอนุญาตอย่างชัดเจน สิ่งนี้เป็นการเลี่ยงโมเดลความปลอดภัยแบบดั้งเดิมที่ผู้ใช้คาดหวังว่าการปฏิเสธการให้สิทธิ์จะปกป้องข้อมูลของพวกเขาได้

การโจมตีครั้งนี้ดูเหมือนจะใช้ประโยชน์จากไปป์ไลน์การเรนเดอร์ของ Android อย่างชัดเจนผ่านช่องทางด้านข้าง (side-channel)

ความซับซ้อนทางเทคนิคของ Pixnapping ได้ดึงดูดทั้งความชื่นชมและความกังวลจากผู้เชี่ยวชาญด้านความปลอดภัย การโจมตีนี้ใช้ประโยชน์จากช่องทางด้านข้าง GPU.zip เดียวกันที่ถูกค้นพบในปี 2023 ซึ่งใช้ประโยชน์จากความแตกต่างของเวลาในการบีบอัดในหน่วยประมวลผลกราฟิก (GPU) สิ่งนี้แสดงให้เห็นว่าช่องโหว่ในส่วนประกอบฮาร์ดแวร์พื้นฐานสามารถเปิดโอกาสให้เกิดการโจมตีทางซอฟต์แวร์ประเภทใหม่ได้อย่างไร

รายละเอียดทางเทคนิคที่สำคัญ:

• ข้อกำหนด: ต้องติดตั้งแอปที่เป็นอันตราย (ไม่จำเป็นต้องขอสิทธิ์การเข้าถึงใดๆ)
• ช่องโหว่ที่ใช้โจมตี: ช่องทางด้านข้าง GPU.zip ผ่านไปป์ไลน์การเรนเดอร์ของ Android
• เป้าหมาย: เนื้อหาบนหน้าจอที่มองเห็นได้ทั้งหมด (รหัส 2FA, ข้อความ, อีเมล)
• วิธีการ: การโจมตีแบบ timing attack บนการเรนเดอร์พิกเซล, 16 ตัวอย่างต่อพิกเซลเป้าหมาย
• ข้อจำกัด: ไม่สามารถเข้าถึงข้อมูลที่ไม่ปรากฏบนหน้าจอ, ต้องมีเนื้อหาเป้าหมายแสดงอยู่บนหน้าจอ

ผลกระทบในโลกจริงและความกังวลของผู้ใช้

สำหรับผู้ใช้ Android ทั่วไป ผลกระทบในทางปฏิบัติมีความสำคัญอย่างมาก การวิจัยแสดงให้เห็นว่า Pixnapping สามารถขโมยรหัส 2FA จาก Google Authenticator ได้สำเร็จด้วยอัตราความสำเร็จที่แตกต่างกันไปในรุ่น Pixel ต่างๆ โดยสูงถึง 73% บนอุปกรณ์ Pixel 6 การโจมตีนี้ทำงานภายในช่วงเวลาวิกฤติ 30 วินาทีที่รหัส 2FA ยังคงใช้ได้อยู่ ทำให้มันเป็นภัยคุกคามที่แท้จริงต่อความปลอดภัยของบัญชี

การอภิปรายในชุมชนได้เน้นย้ำถึงแง่มุมที่น่ากังวลหลายประการของช่องโหว่นี้ ผู้ใช้หลายคนแสดงความประหลาดใจที่ Android อนุญาตให้แอปสามารถเรียกแอปอื่นและวาดทับเนื้อหาของแอปเหล่านั้นได้โดยไม่ต้องขออนุญาตอย่างชัดเจน นอกจากนี้ยังมีความกังวลเกี่ยวกับความแพร่หลายของแอปที่ไม่จำเป็นที่ติดตั้งมาล่วงหน้า (Bloatware) และแอปที่แนะนำซึ่งติดตั้งโดยอัตโนมัติ ที่อาจมีการโจมตีดังกล่าวได้ ตามที่ผู้แสดงความคิดเห็นหนึ่งชี้ให้เห็น ผู้ใช้ Android 90% ที่ไม่มีความรู้ทางเทคนิค กำลังเผชิญกับช่องโหว่ที่อธิบายในบทความนี้ 100%

พื้นที่ที่เสี่ยงต่อการถูกโจมตี (Attack Surface) กว้างกว่าที่หลายคนตระหนัก แม้ว่าแอปประสงค์ร้ายจะต้องถูกเปิดโดยผู้ใช้ แต่การแตะผิดโดยบังเอิญหรือแอปที่ปลอมแปลงอาจเป็นตัวกระตุ้นการโจมตีได้ ผู้ใช้หลายคนแบ่งปันประสบการณ์ของการ เปิดแอปผิดโดยแน่นอน บนสมาร์ทโฟน — ง่ายมากที่จะแตะผิดสิ่งต่างๆ ในสถานการณ์ที่หลากหลาย

อัตราความสำเร็จของการโจมตีแบบ Pixnapping จำแนกตามอุปกรณ์:

• Pixel 6: อัตราความสำเร็จ 73% ใช้เวลาในการกู้คืนข้อมูลเฉลี่ย 14.3 วินาที
• Pixel 7: อัตราความสำเร็จ 53% ใช้เวลาในการกู้คืนข้อมูลเฉลี่ย 25.8 วินาที
• Pixel 8: อัตราความสำเร็จ 29% ใช้เวลาในการกู้คืนข้อมูลเฉลี่ย 24.9 วินาที
• Pixel 9: อัตราความสำเร็จ 53% ใช้เวลาในการกู้คืนข้อมูลเฉลี่ย 25.3 วินาที
• Samsung Galaxy S25: ไม่สามารถขโมยรหัส 2FA ภายใน 30 วินาทีได้เนื่องจากมีสัญญาณรบกวนจำนวนมาก

กลยุทธ์การบรรเทาและความท้าทายที่ยังคงมีอยู่

Google ได้ยอมรับปัญหาดังกล่าวและได้ปล่อยแพตช์เบื้องต้นออกมา โดยมีตัวแทนของบริษัทระบุว่าพวกเขาได้ออกแพตช์สำหรับ CVE-2025-48561 ในรายงานความปลอดภัย Android เดือนกันยายน และวางแผนแก้ไขเพิ่มเติมในเดือนธันวาคม อย่างไรก็ตาม นักวิจัยพบว่าการโจมตีในรูปแบบที่ดัดแปลงสามารถเลี่ยงการป้องกันเบื้องต้นเหล่านี้ได้

ชุมชนด้านความปลอดภัยได้เสนอการป้องกันในทางปฏิบัติหลายประการ การใช้แอปยืนยันตัวตนที่มีหน้าจอความเป็นส่วนตัวซึ่งต้องใช้การยืนยันด้วยไบโอเมตริกซ์ จะป้องกันการโจมตีได้โดยการซ่อนข้อมูลสำคัญไว้จนกว่าจะผ่านการยืนยันตัวตน การระมัดระวังในการติดตั้งแอปและการใช้เครื่องมือเช่น Universal Android Debloater เพื่อลบแอปที่ไม่จำเป็นที่ติดตั้งมาล่วงหน้าสามารถลดความเสี่ยงได้

แนวทางแก้ไขทางเทคนิคบางส่วนที่ถูกเสนอ ได้แก่ การเพิ่มการรบกวนเวลาแบบสุ่ม (random timing jitter) ในระหว่างการเรนเดอร์เพื่อปกปิดช่องทางด้านข้าง แต่นี่จะต้องมีการเปลี่ยนแปลงพื้นฐานในไปป์ไลน์กราฟิกของ Android การอภิปรายยังได้พูดถึงว่าช่องโหว่ที่คล้ายกันอาจส่งผลกระทบต่อแพลตฟอร์มอื่นหรือไม่ โดยผู้ใช้สงสัยว่าการออกแบบของ Wayland ที่เน้นความปลอดภัย หรือ iOS อาจให้การป้องกันที่ดีกว่ากับการโจมตีดังกล่าว

การค้นพบ Pixnapping เป็นอีกบทหนึ่งในการต่อสู้อย่างต่อเนื่องระหว่างนักวิจัยด้านความปลอดภัยและผู้โจมตีที่อาจเกิดขึ้น แม้ว่าการโจมตีจะต้องใช้ความซับซ้อนทางเทคนิคอย่างมากและยังไม่เคยถูกพบในสภาพแวดล้อมจริง แต่มันแสดงให้เห็นว่าผู้โจมตีที่มุ่งมั่นสามารถหาวิธีที่สร้างสรรค์เพื่อเลี่ยงการป้องกันความปลอดภัยบนมือถือได้อย่างไร สำหรับผู้ใช้ Android นี่เป็นเครื่องเตือนใจให้ตื่นตัวเกี่ยวกับแอปที่พวกเขาติดตั้งและให้อัปเดตอุปกรณ์ของพวกเขาด้วยแพตช์ความปลอดภัยล่าสุด

อ้างอิง: Hackers can steal 2FA codes and private messages from Android phones