Falla de Pixnapping en Android

Investigadores de ciberseguridad han identificado una vulnerabilidad crítica que afecta a los dispositivos Android de Google y Samsung, denominada Pixnapping. Este ataque de canal lateral permite que una aplicación maliciosa robe de forma encubierta datos confidenciales, como códigos de autenticación de dos factores (2FA) y cronogramas de Google Maps, capturando píxeles de la pantalla sin el conocimiento del usuario. El ataque opera píxel por píxel, lo que lo hace altamente preciso y sigiloso.

Cómo funciona Pixnapping: el robo de píxeles en su esencia

En esencia, Pixnapping es un framework de robo de píxeles diseñado para eludir las mitigaciones estándar de los navegadores y atacar aplicaciones que no son de navegador, como Google Authenticator. Aprovecha las API de Android y un canal lateral de hardware para capturar información confidencial rápidamente; los códigos de autenticación de dos factores (2FA) se pueden extraer en menos de 30 segundos.

El ataque explota el flujo de procesamiento de Android de una manera única:

• Una aplicación maliciosa fuerza los píxeles de la víctima a ingresar al proceso de renderizado mediante intenciones de Android.
• Luego aplica una pila de actividades de Android semitransparentes para realizar cálculos en esos píxeles.

Esta metodología refleja los ataques «estilo Stone» que antes estaban limitados a los navegadores y ahora están adaptados para aplicaciones nativas.

Dispositivos en riesgo y alcance de la vulnerabilidad

La investigación examinó específicamente cinco dispositivos Google y Samsung que ejecutan las versiones 13 a 16 de Android. Si bien no se han probado otros fabricantes, los principios subyacentes del ataque existen en todos los dispositivos Android, lo que hace que la plataforma sea ampliamente susceptible.

Sorprendentemente, cualquier aplicación de Android puede ejecutar Pixnapping sin permisos especiales en su manifiesto. Sin embargo, el ataque requiere que la víctima instale y ejecute la aplicación maliciosa, a menudo mediante ingeniería social o engaños.

Mecánica técnica: Canales laterales de la GPU y vulnerabilidades de desenfoque de ventanas

Pixnapping se basa en el canal lateral GPU.zip, previamente revelado (septiembre de 2023), que aprovechaba las funciones de compresión de las GPU integradas para robar píxeles de origen cruzado en los navegadores. El nuevo ataque amplía este concepto al combinarlo con la API de desenfoque de ventanas de Android, lo que permite el robo de píxeles de las aplicaciones víctimas.

El proceso funciona de la siguiente manera:

• Una aplicación maliciosa envía píxeles de la aplicación víctima al canal de renderizado.
• Las actividades semitransparentes se superponen utilizando intenciones de Android para enmascarar, agrandar y transmitir píxeles específicos.

• Cada píxel que contiene datos confidenciales se aísla y se extrae secuencialmente.

• Esto permite a los atacantes reconstruir códigos 2FA u otro contenido confidencial píxel por píxel.

Por qué Android es vulnerable: tres factores que lo favorecen

Los investigadores identificaron tres condiciones que hacen posible el Pixnapping:

• Inyectar actividades de otras aplicaciones en el pipeline de renderizado de Android.
• Inducir operaciones gráficas (como desenfoque) en estos píxeles.
• Medición de efectos secundarios dependientes del color del píxel para inferir información sensible.

Respuesta y actualizaciones de seguridad de Google

Google ha rastreado Pixnapping bajo la CVE-2025-48561 (CVSS 5.5). Se publicó un parche en el Boletín de Seguridad de Android de septiembre de 2025, que mitiga parcialmente el ataque. El parche aborda escenarios en los que el desenfoque excesivo podría usarse para robar píxeles.

Se ha programado un segundo parche para diciembre de 2025 para cerrar un nuevo vector de ataque que reactiva Pixnapping mediante ajustes de tiempo. Google indicó que la explotación requiere datos específicos del dispositivo y confirmó que no hay malware activo que explote esta falla en Google Play.

Riesgos adicionales: detección de aplicaciones e implicaciones para la privacidad

Pixnapping también permite a un atacante detectar aplicaciones instaladas en un dispositivo, eludiendo las restricciones implementadas desde Android 11 diseñadas para ocultar listas de aplicaciones.

El ataque pone de relieve los riesgos inherentes a la estratificación de aplicaciones móviles, un sistema en el que las aplicaciones interactúan extensamente en todo el sistema operativo. Restringir por completo la funcionalidad de las aplicaciones estratificadas resulta impráctico; en su lugar, las defensas podrían centrarse en permitir que las aplicaciones sensibles se excluyan y limitar la capacidad de los atacantes para realizar mediciones.

Conclusiones clave para los usuarios

Pixnapping es un ataque altamente sigiloso que opera sin requerir permisos elevados en las aplicaciones, lo que lo hace particularmente insidioso. El riesgo aumenta cuando los usuarios instalan aplicaciones de fuentes no confiables, ya que las aplicaciones maliciosas podrían explotar la vulnerabilidad para acceder a información confidencial. Si bien Google ha publicado parches parciales para solucionar el problema, se espera una mitigación completa en diciembre de 2025. Mientras tanto, los usuarios deben mantenerse alerta, monitoreando de cerca sus aplicaciones de 2FA y otros datos confidenciales para detectar cualquier indicio de actividad inusual.