原标题：坊间攻击套件锁定的10大安全漏洞，Flash就占了6个

示意图，与新闻事件无关。

即时威胁情报业者Recorded Future本周公布了2016年的攻击套件分析报告，该报告调查了坊间141个攻击套件及其所使用的产品安全漏洞，发现这些攻击套件所利用的十大安全漏洞中，有6个属于Adobe Flash Player的安全漏洞，最受青睐的是编号为CVE-2015-7645的Flash安全漏洞。

Recorded Future的调查期间为去年的11月到今年的11月，调查对象为黑市所销售的141个攻击套件，多于去年的108个。Recorded Future表示，理解攻击套件所利用的安全漏洞将可协助企业评估漏洞的风险等级。

攻击套件的受害者通常是载入了被危害的网页、广告或是透过恶意连结连到了攻击套件的登陆页面，而这就是攻击套件展开行动的起点，它们会利用HTML或JavaScript程式来辨别受害者所使用的浏览器与外挂程式，并藉由偷渡式下载（drive-by download）部署适用的攻击程式。

某些攻击套件可供周租或月租，例如Nucleus攻击套件的周租及月租价码分别是800美元与2000美元，品质较差的RIG则是200美元与700美元，最贵的Neutrino要价1500美元与4000美元。

十大漏洞的排名来自于漏洞与攻击套件之间的网路参考连结数量，依序是CVE-2016-0189（IE）、CVE-2016-1019（Flash）、CVE-2016-4117（Flash）、CVE-2015-8651（Flash）、CVE-2016-0034（Silverlight）、CVE-2016-1010（Flash）、CVE-2014-4113（Windows）、CVE-2015-8446（Flash）、CVE-2016-3298（IE）及CVE-2015-7645（Flash），可发现光是Flash漏洞就佔了6个，其他则是IE、Windows与Silverlight漏洞。

Recorded Future指出，最受攻击套件青睐的是Flash安全漏洞CVE-2015-7645，虽然这是Adobe在去年10月就紧急更新的零时差安全漏洞，但它同时影响Windows、Mac及Linux等不同的作业系统，允许骇客掌控受害者系统，再加上容易开採，因此仍被至少7个攻击套件採用，包含知名的Neutrino与Angler。

去年现身的Sundown攻击套件成为犯罪软体世界的新星，Sundown一开始只是複製其他套件，后来纳入了锁定日本银行的IE漏洞（CVE-2015-2444），更聚焦于金融木马的植入，使得它异军突起。

Recorded Future建议企业应儘速修补上述漏洞，或是直接移除影响关键商业运作的有害软体，启用Flash的点击再播放（click to play）功能，考虑改用努力修补Flash漏洞的Chrome浏览器，擅用浏览器的广告封锁机制，以及经常备份系统，特别是容易被勒索软体相中的共享档案。

tags：坊间   套件   安全漏洞   锁定   攻击

上一篇  下一篇

相关：

南一中校园活春宫案　警锁定男女校籍

国立台南一中发生校园活春宫事件，校方查阅视频后发现是校外人士，经警方调阅附近监视器画面，以及根据网络讨论区、学生提供的讯息，目前已锁定2所高中的学生，男生是某所公立学校的学生，女生则就读私校。本月3日，

夹娃娃店遭泼漆 警锁定财务纠纷人

新北市中和区兴南路二段一家夹娃娃店，今天凌晨3时许遭人泼漆毁损。警方了解后，疑似负责人与他人有财务纠纷。已经锁定相关特定对象查缉。新北市中和警察分局表示，受理报案后，积极调阅现场附近监视录影画面，已经锁

僵尸网络梦魇不断! 又有新的DDoS攻击蠢动

示意图，与新闻事件无关。 在Mirai近日引发网路灾难之后，内容递送网路（content delivery network, CDN）业者CloudFlare上周发布报告，指出又有另一个新殭尸网路在感恩节前发动分散式阻断攻击（DDoS）。?这个未命

俄央行遭黑客攻击 被盗走20亿卢布

据路透社报道,俄罗斯央行周五称,黑客从该行的代理账户中盗取了20亿俄罗斯卢布(约合3100万美元)以上的资金,这是全球金融机构遭遇黑客攻击事件日益增多...俄罗斯央行巨额资金被盗 据中新网12月3日援引路透社消息,俄罗斯

真人版芭比娃娃 锁定艾米舒默担纲

索尼影业预计明年春开拍芭比娃娃真人版电影，锁定美国喜剧片女星艾米舒默，饰演这个无数大小女孩儿们曾幻想，自己就是芭比世界主人的角色。根据美国娱乐产业新闻网站Deadline Hollywood报道，索尼影业相中艾米舒默，