Une technique baptisée « Pixnapping » permet à une application malveillante, sans autorisation apparente, de capter ce qui s’affiche sur l’écran d’un smartphone Android, y compris des codes 2FA et des messages privés. Malgré des atténuations récentes, la vulnérabilité reste exploitable sur des appareils récents, mais des garde‑fous existent et des correctifs plus profonds se préparent.
Le principe est simple et glaçant : si une information s’affiche à l’écran, elle peut potentiellement être « volée » à distance par une app installée à l’insu de l’utilisateur. Des tests menés sur plusieurs générations de Pixel et de Galaxy récents montrent la faisabilité en conditions réelles. Un correctif partiel a bien été déployé, mais les chercheurs démontrent déjà des contournements, signe qu’Android devra évoluer en profondeur.
Quand l’écran bavarde
Le cœur du risque tient au fait que l’écran devient une source de fuite. Codes 2FA, fragments de courriels, messages et contenus sensibles affichés par d’autres applications peuvent être reconstruits à partir de signaux latents produits lors du rendu graphique. Même quitter le SMS pour une application d’authentification ne suffit pas si le code s’affiche à l’écran quelques secondes.
Le scénario d’attaque suppose l’installation d’une application malveillante. Mais elle n’a pas besoin de permissions visibles et n’éveille pas de soupçons. Une fois en place, quelques dizaines de secondes peuvent suffire pour récupérer un code d’authentification à usage unique.
« Pixnapping » s’appuie sur un enchaînement de mécanismes système qui forcent l’apparition d’éléments sensibles à l’avant‑plan. L’application espionne mesure ensuite de minuscules variations temporelles liées au rendu graphique, indicateurs précieux de ce qui est affiché.
Le canal utilisé exploite des fuites issues de la compression dans les processeurs graphiques, un phénomène popularisé sous le nom de « GPU.zip ». En corrélant ces signaux avec de la reconnaissance optique de caractères, il devient possible de reconstituer des chiffres, des mots, des portions d’interface. Les atténuations récentes côté Android limitent certains appels, mais elles ne tarissent pas encore la source.
Réduire le risque sans céder à la panique
La meilleure parade immédiate consiste à assécher la surface d’attaque. Limiter l’installation d’applications non essentielles, privilégier les stores officiels et se méfier des apps « utilitaires » trop gourmandes en fonctionnalités réduisent fortement l’exposition. Désactiver les aperçus de notifications sensibles empêche aussi d’afficher involontairement des codes à l’écran.
Pour l’authentification, favoriser les clés de sécurité matérielles et les méthodes qui ne dévoilent pas de secret en clair sur l’écran. Les codes temporaires restent pratiques, mais ils doivent s’afficher le moins longtemps possible. Lorsque c’est proposé, l’authentification forte liée à l’appareil constitue un progrès notable.
La correction durable passera par des défenses capables d’empêcher le « forçage » d’affichage par des tiers et par des atténuations matérielles côté GPU. L’écosystème Android a déjà surmonté d’autres canaux auxiliaires : l’alerte actuelle accélère les mises à jour, et les fabricants disposent d’une feuille de route claire. D’ici là, quelques gestes de sobriété numérique suffisent à reprendre l’avantage.
Source : Ars Technica
