近日，根据外媒报道，Android目前最新的几个版本存在权限滥用漏洞，很容易受到勒索软件和银行恶意软件攻击，而要修复还得等到谷歌下一代操作系统Android O的发布。

安全公司Check Point检查了Android的许可模式，并在其中发现了一个奇怪的漏洞，目前勒索软件、广告软件以及银行木马正利用该漏洞，通过网络钓鱼页面和敲诈勒索等手段劫持受害者的屏幕。

Check Point公司的安全研究人员表示，该安全问题源于Android 6.0 Marshmallow（棉花糖）系统中存在一个名为 “SYSTEM_ALERT_WINDOW”的非常敏感的新权限，该权限允许一个应用程序创建能够覆盖所有其他应用程序的窗口。

据悉，Google最初是要求用户通过“设置”页面手动允许该权限的，但是在Android 6.0.1系统中，Google就更改了其策略，默认只要是从官方Play Store中下载安装的所有应用程序都将提供SYSTEM_ALERT_WINDOW这一敏感权限。

Check Point表示，Google之所以这么做是因为手动设置会为合法访问（如访问WIFI状态）带来麻烦，比如Facebook Messenger能够悬浮于手机屏幕并收到新消息提醒，其依靠的也是该功能。

该公司进一步解释称，

“为了改善用户体验，Google在安卓6.0.1版本中应用了一个临时解决方案，允许Google Play商店在运行时直接授予权限，包括SYSTEM_ALERT_WINDOW权限。这意味着，直接从应用商店下载的恶意应用程序将被自动授予该危险权限。”

Check Point移动研究团队指出，

“根据我们的研究结果显示，目前已有74%的勒索软件、57%的广告软件以及14%的银行恶意软件正在滥用这一权限实施攻击行为，这显然并不只是一个小的安全威胁，而是已经被用于实际攻击的安全漏洞。”

该安全公司还指出，

“近45％使用SYSTEM_ALERT_WINDOW权限的应用程序都是来自Google Play”。

Google Play一直是用户安装Android应用程序最安全放心的地方。但是，如果该权限的运用范围真的像Check Point所说的如此广泛的话，可以想象Google Play用户将面临怎样的安全风险。

但这并不意味着Google Play中所有的应用程序都不值得信任，其实Google的自动化恶意软件检测器（名为Bouncer）可以自动查找恶意应用程序，只是遗憾的是，Bouncer在检测恶意软件方面的表现有些不尽如人意，还是让部分恶意软件钻了空子。

所以，在此建议大家对恶意应用程序提高警惕，即使是从Google Play商店中下载的也不例外。在安装应用程序之前，一定要验证应用程序权限且只允许必要的权限以保障自身安全。

Google最近删除了多个Android恶意应用程序，其中包括针对欧洲和澳大利亚银行客户的“BankBot银行木马”，该恶意软件会在用户设备所安装的合法银行应用程序顶端显示一个虚假的登录窗口，也就是说BankBot能够用于窃取银行应用程序的登录凭证。它还能窃取其它应用程序的登录详情，包括Facebook、YouTube、WhatsApp、Snapchat、Instagram、Twitter、甚至是谷歌应用商店。

此外，BankBot具有很多功能，如像勒索软件那样锁定用户设备或者拦截用户文本以绕过双因素验证。研究人员发现已经有424多款合法银行应用程序遭受了BankBot攻击，其中包括汇丰银行、法国巴黎银行等。

【木马运行流程，图片来源网络】

Check Point还提醒用户注意一些广告软件，这些恶意软件同样隐藏在Google Play看似合法的应用程序中。其中包括一款名为“FalseGuide”的恶意软件，FalseGuide隐藏在包含Pokémon GO以及FIFA Mobile在内的40多款流行游戏的应用指南软件中，该恶意软件正在尝试构建僵尸网络，提供欺诈性移动广告，为创建它的网络犯罪分子牟取暴利。

Check Point研究人员指出，Google计划在“Android O”版本中解决该安全问题，而该版本正式发布预计要等到今年第三季度。目前，Google只是通过一个名为“TYPE_APPLICATION_OVERLAY”的限制性权限来进行修复处理。Check Point表示，该限制性权限可以阻止位于任何关键系统窗口上方的视窗，从而允许用户访问设置并阻止展示告警视窗的应用程序。