Uma vulnerabilidade crítica, apelidada de Pixnapping, acendeu um alerta no ecossistema Android ao permitir que aplicativos maliciosos captem o conteúdo exibido na tela, incluindo senhas, códigos temporários e dados bancários, sem solicitar qualquer permissão especial ao usuário. A falha, registrada como CVE-2025-48561, afeta versões recentes do sistema operacional e contorna todas as camadas tradicionais de proteção do Android, segundo informou a Kaspersky.
Descoberta por pesquisadores de segurança, a técnica explora brechas no processamento gráfico do sistema para “ler” pixels da tela em segundo plano, de forma completamente invisível. Na prática, um app aparentemente legítimo pode observar tudo o que o usuário visualiza, inclusive conteúdos protegidos contra a captura de tela.
Dispositivos mais atingidos
Os testes confirmaram a viabilidade do ataque nas versões Android 13 a 16, com impacto direto nos seguintes aparelhos:
-
Google Pixel 6, Pixel 7, Pixel 8 e Pixel 9
-
Samsung Galaxy S25
Segundo os pesquisadores, esses modelos representam apenas a superfície do problema. Como o Pixnapping utiliza mecanismos padrão do Android e das GPUs ARM, outros smartphones modernos com Android também podem ser vulneráveis, dependendo de detalhes de implementação gráfica.
Como o ataque funciona
O Pixnapping combina técnicas conhecidas de sobreposição de janelas, manipulação de Intents do Android e uma falha paralela chamada GPU.zip, que permite inferir dados a partir do tempo de compressão entre CPU e GPU. Ao forçar um aplicativo-alvo a renderizar informações sensíveis em uma janela oculta e analisar pixels isolados, o malware consegue reconstruir o conteúdo da tela ponto a ponto.
Em testes práticos, um código de seis dígitos do Google Authenticator foi extraído em apenas 22 segundos, ainda dentro do prazo de validade.
Correções e riscos atuais
O Google foi notificado em fevereiro e lançou um patch em setembro, mas a correção se mostrou insuficiente e foi rapidamente contornada. Uma nova tentativa de mitigação está prevista para a atualização de segurança de dezembro. Já a falha GPU.zip, conhecida desde 2024, segue sem previsão de correção por parte dos fabricantes de GPU.
Como se proteger
Enquanto a vulnerabilidade não é totalmente eliminada, especialistas recomendam:
-
Manter o Android sempre atualizado com os patches de segurança mais recentes
-
Evitar aplicativos pouco conhecidos, mesmo em lojas oficiais
-
Desconfiar de apps novos, com poucos downloads ou avaliações negativas
-
Utilizar soluções completas de segurança móvel para monitorar comportamentos suspeitos
Apesar de ainda não haver exploração ativa conhecida, o Pixnapping demonstra que a tela do smartphone, até então considerada um espaço seguro, pode não ser tão privada quanto se imaginava.
Image by freepik
