Ao contrário de trojans tradicionais que pedem permissões ou exploram falhas óbvias, o Pixnapping usa um side-channel gráfico: ele analisa o comportamento da GPU e a renderização de pixels para reconstruir informação sensível exibida na tela, incluindo códigos de autenticação em dois fatores (2FA).
O que é e por que é diferente
Pixnapping não é uma exploração de privilégio nem exige permissões estranhas: basta que o usuário instale um app que contenha o código malicioso (um app que parece inocente, como uma lanterna ou leitor de QR). Em seguida, o malware aproveita mecanismos legítimos de desenho e efeitos gráficos do sistema (como desfoque) e mede variações de tempo e compressão na GPU para inferir as cores e valores dos pixels originais. Em resumo: em vez de “ver” a tela diretamente, o ataque reconstrói a informação a partir de sinais laterais da renderização gráfica.
Esse método é particularmente perigoso porque:
-
Funciona silenciosamente sem alertas visíveis ao usuário;
-
Pode extrair códigos 2FA exibidos apenas por alguns segundos;
-
Explora um comportamento da GPU presente em muitos dispositivos, tornando a superfície de ataque ampla.
Dispositivos afetados e mitigação
Os testes iniciais identificaram vulnerabilidades em aparelhos Google e Samsung rodando Android 13 a 16, mas os autores alertam que a metodologia subjacente pode ser aplicada a uma gama maior de dispositivos. O problema foi catalogado como CVE-2025-48561, e o Google já liberou um patch que restringe o uso do efeito de desfoque entre aplicativos — medida que neutraliza o vetor explorado pelo Pixnapping.
Recomendações práticas
Para reduzir o risco enquanto os ambientes se atualizam, recomenda-se:
-
Atualizar o sistema — instale imediatamente patches e atualizações oficiais do Android e dos fabricantes;
-
Evitar fontes não confiáveis — não instalar APKs de lojas ou sites desconhecidos;
-
Revisar apps instalados — remover apps suspeitos ou pouco usados;
-
Usar métodos 2FA mais robustos — quando possível, prefira chaves físicas (hardware tokens) ou autenticadores que permitam confirmções via push, em vez de códigos baseados apenas em visualização temporária;
-
Monitorar atividade de contas — habilitar alertas e revisar logins e dispositivos conectados
