L\u2019attaque fonctionne en trois \u00e9tapes. D\u2019abord, l\u2019app malveillante invoque des APIs Android publiques (activities, intents, tasks) pour d\u00e9clencher l\u2019affichage de donn\u00e9es sensibles dans l\u2019app cible. Par exemple, forcer Google Authenticator \u00e0 afficher un code 2FA. Ensuite, elle dessine des fen\u00eatres transparentes par-dessus ces donn\u00e9es et effectue des op\u00e9rations graphiques sur des pixels individuels. Enfin, elle mesure le temps de rendu de chaque frame pour reconstruire les pixels un par un via le canal auxiliaire GPU.zip. C\u2019est lent (entre 0,6 et 2,1 pixels par seconde) mais c\u2019est suffisant.<\/p>\n

\n Les chercheurs ont test\u00e9 l\u2019attaque sur plusieurs mod\u00e8les Google Pixel et Samsung Galaxy S25<\/a>
\net sur 100 tentatives de vol de codes 2FA depuis Google Authenticator, le Pixel 6 se montre particuli\u00e8rement vuln\u00e9rable avec un taux de r\u00e9ussite des attaques de 73% en seulement 14,3 secondes en moyenne. Le Pixel 7 offre une meilleure r\u00e9sistance avec 53% de r\u00e9ussite en 25,8 secondes, tandis que le Pixel 8 fait encore mieux en limitant les attaques r\u00e9ussies \u00e0 29% en 24,9 secondes. Curieusement, le Pixel 9 r\u00e9gresse et remonte \u00e0 53% de vuln\u00e9rabilit\u00e9 en 25,3 secondes. Par contre, le Galaxy S25 se distingue compl\u00e8tement en bloquant syst\u00e9matiquement toutes les tentatives d\u2019attaque gr\u00e2ce au bruit pr\u00e9sent dans les mesures qui emp\u00eache toute exploitation.<\/p>\n

Les vieux appareils sont donc plus vuln\u00e9rables que les nouveaux, ce qui est probablement li\u00e9 aux premi\u00e8res g\u00e9n\u00e9rations de GPU Tensor de Google, moins optimis\u00e9es, plus pr\u00e9visibles.<\/p>\n

Google attribue une CVE \u00e0 cette attaque (CVE-2025-48561), class\u00e9e \u201cHigh Severity\u201d et un patch partiel est publi\u00e9 dans le bulletin de s\u00e9curit\u00e9 Android de septembre. Mais les chercheurs ont rapidement trouv\u00e9 un contournement, qui est actuellement sous embargo. Un second patch est donc pr\u00e9vu pour d\u00e9cembre. Entre-temps,
\n Google affirme qu\u2019aucune exploitation \u201cin-the-wild\u201d n\u2019a \u00e9t\u00e9 d\u00e9tect\u00e9e<\/a>
\npour l\u2019instant.<\/p>\n

Le mod\u00e8le de s\u00e9curit\u00e9 Android repose sur l\u2019id\u00e9e qu\u2019une app sans permissions ne peut rien faire de dangereux. Pixnapping utilise uniquement des APIs publiques l\u00e9gitimes donc y\u2019a rien de suspect dans le manifest, qui d\u00e9clencherait une alerte Play Protect\u2026 Et pourtant, elle peut voler des codes 2FA.<\/p>\n

Les recommandations de s\u00e9curit\u00e9 sont donc les m\u00eames depuis 2023 \u00e0 savoir scruter attentivement les apps install\u00e9es, privil\u00e9gier les cl\u00e9s de s\u00e9curit\u00e9 hardware pour la 2FA (YubiKey, Titan), surveiller les comportements anormaux.<\/p>\n

Apr\u00e8s, je pense pas que beaucoup d\u2019utilisateurs d\u2019Android vont investir dans une cl\u00e9 hardware \u00e0 50 balles parce que Nvidia a la flemme de patcher son GPU.<\/p>\n

Bienvenue dans la r\u00e9alit\u00e9 de la s\u00e9curit\u00e9 mobile les amis.<\/p>\n

\n Source<\/a>\n<\/p>\n<\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"