安卓锁机病毒DroidLock攻击分析：伪装应用诱骗权限

一种名为DroidLock的新型安卓恶意软件近期在互联网上广泛传播，该程序具备锁定设备并勒索赎金的功能，并威胁用户若未在24小时内支付赎金，将删除设备中的全部文件。这一恶意软件最初由移动安全企业Zimperium发现，目前主要针对使用西班牙语的用户群体，通过伪装成合法应用的恶意APK进行分发。

攻击者采用多阶段感染策略实施攻击。首先，用户会被诱导下载一个被称为“释放器”的伪装程序，该程序会弹出虚假的“系统更新”提示，诱使用户进一步安装包含真正恶意代码的载荷组件。这种层层递进的传播方式极大降低了普通用户的防范意识，提高了感染成功率。

一旦DroidLock被成功安装，便会立即请求获取“设备管理器”与“无障碍服务”两项高风险权限。在获得授权后，该恶意程序可执行多达15种远程指令，包括静音设备、启动摄像头、卸载已安装的应用程序，以及窃取短信内容和通话记录等敏感信息。

更为严重的是，该软件集成了VNC（虚拟网络计算）技术，能够建立远程连接，使攻击者在设备空闲时实现对手机的完全控制。同时，它还能生成一个透明覆盖层，当用户输入屏幕解锁图案时，自动记录并将其发送至攻击者服务器，从而窃取用户的解锁凭据。

与传统的文件加密型勒索软件不同，DroidLock采用的是锁屏勒索模式。其通过WebView加载全屏遮盖界面，阻止用户对设备进行任何操作，并擅自修改设备的PIN码或生物识别验证信息，导致设备无法正常使用。勒索页面上留有Proton邮箱联系方式，明确要求受害者在24小时内支付费用，否则将永久清除设备数据。此类手法虽不加密文件，但通过制造紧迫感和恐慌情绪，达到与加密勒索同等的胁迫效果。

作为Google应用防御联盟成员，Zimperium已将DroidLock的特征信息提交至安卓安全团队。目前，所有启用Google Play Protect功能的设备均可自动识别并拦截该威胁。安全专家提醒公众，应避免从官方应用商店以外的渠道下载和安装应用程序，尤其需警惕那些请求“无障碍服务”权限的非必要应用。建议用户定期对设备进行安全扫描，以降低感染风险，保障个人信息安全。