보안 연구원들은 Android 기기를 표적으로 삼는 Pixnapping이라는 12년 된 데이터 도용 공격을 부활시켰습니다. 이 공격을 통해 악성 앱은 본질적으로 다른 앱이나 웹사이트에 표시된 정보를 "스크린샷"하고 훔칠 수 있습니다. Pixnapping은 Google 지도, Signal, Venmo와 같은 앱과 Gmail과 같은 웹사이트의 민감한 데이터를 타겟팅할 수 있습니다. Google OTP에서 생성된 2단계 인증(2FA) 코드를 훔칠 수도 있습니다. 이 공격은 픽셀 색상을 분석하고 렌더링 시간을 측정하여 표시되는 콘텐츠를 결정하는 방식으로 작동합니다. 악성 앱은 대상 앱을 열고, 픽셀 좌표를 선택하고, 다양한 렌더링 시간으로 그래픽 작업을 트리거합니다. 렌더링 시간을 측정함으로써 앱은 특정 픽셀의 색상을 식별하여 표시된 정보를 효과적으로 재구성할 수 있습니다. 연구원들은 Google Pixel 및 Samsung Galaxy 모델을 포함하여 Android 버전 13에서 16을 실행하는 여러 기기에 대한 공격을 시연했습니다. 중요한 것은 Pixnapping을 사용하는 악성 앱이 작동하는 데 특별한 권한이 필요하지 않으므로 은밀한 위협이 된다는 것입니다. 이 공격은 아직 완전히 완화되지 않은 Android 시스템에 내재된 취약점을 활용합니다. 연구원들은 "Pixnapping: Bringing Pixel Stealing out from the Stone Age"라는 논문에서 연구 결과를 자세히 설명했습니다.