CVE-2025-48561

Nome do Software Vulnerável e Versões Afetadas Versões do Android 13 a 16 Samsung Galaxy S25 Dispositivos Google Pixel (6 a 9)

Descrição Um novo ataque de canal lateral, denominado Pixnapping (CVE-2025-48561), permite que aplicativos Android maliciosos vazem informações exibidas por outros aplicativos ou sites de forma furtiva. O ataque explora APIs do Android e um canal lateral de hardware que afeta a maioria dos dispositivos Android modernos. Pode ser usado para roubar dados sensíveis, como códigos de autenticação de dois fatores, de aplicativos como Google Authenticator, Gmail, Signal, Venmo e Google Maps.

O ataque envolve um aplicativo malicioso forçando o aplicativo alvo a renderizar, empilhando atividades semitransparentes e medindo o tempo de compressão da GPU para recuperar dados sensíveis sem exigir permissões especiais. A vulnerabilidade alavanca um canal lateral conhecido como GPU.zip, divulgado anteriormente em setembro de 2023. Pesquisadores demonstraram o ataque em dispositivos Google e Samsung, reconstruindo com sucesso dados sensíveis exibidos na tela.

O Google lançou uma correção parcial em setembro de 2025, mas os pesquisadores encontraram uma maneira de contorná-la, sendo esperada uma correção completa na atualização de segurança do Android de dezembro de 2025. Atualmente, não há exploits conhecidos na natureza.

O ataque funciona explorando a função de compressão em GPUs integradas modernas (iGPU) para realizar ataques de roubo de pixels a partir de várias fontes no navegador usando filtros SVG, combinados com a API de desfoque de janela do Android para extrair dados de renderização de aplicativos vítimas. O aplicativo malicioso envia os pixels do aplicativo vítima para o pipeline de renderização e sobrepõe atividades semitransparentes usando intents do Android.

Recomendações Atualize seu dispositivo para a atualização de segurança do Android de dezembro de 2025 ou posterior. Evite instalar aplicativos não confiáveis. Considere usar autenticação de dois fatores por hardware (por exemplo, YubiKey). Considere usar carteiras de hardware para criptomoedas.