Adobe Flash - 資安趨勢部落格

當心勒索軟體利用Hacking Team 外洩的 Adobe Flash漏洞發動攻擊

2015 年 07 月 10 日2015 年 07 月 14 日趨勢科技 TrendMicro

以協助執行監控任務,出售間諜程式給各國政府與執法單位而備受爭議的Hacking Team公司,近日遭到攻擊，總量近400GB的公司內部文件,檔案程式等資料被公開。在此次洩露的文件中，包含了Hacking Team的客戶資料、財務文件、合約、內部E-mail郵件,根據報導維基解密（WikiLeaks）公布了Hacking Team內部超過100萬筆電子郵件，並提供了搜尋機制。其中包含了601筆與台灣相關資料。

在過去幾天裡,備收爭議的 Hacking Team 被駭 ! 流出資料中發現 Flash零時差漏洞攻擊程式,此事件導致其資料被公開的事件已經有了許多的討論。而人們最需要知道的事情是此次攻擊讓另一個新的Adobe Flash漏洞被公諸於世（CVE-2015-5119）。

趨勢科技的研究人員已經發現有攻擊者將這新的漏洞加進漏洞攻擊包以做為攻擊的武器。最嚴重的風險是這種攻擊可能會被用來感染第三方廣告伺服器，與我們在2015年第一季所看到的趨勢相符合。

這個漏洞影響所及遍布所有版本的Adobe Flash。Adobe Flash遭到入侵後可能會當掉，駭客也可能取得受害系統的控制權。Adobe已經發布了一則安全公告並建議用戶儘速套用安全性更新。

談到針對此漏洞的攻擊，趨勢科技根據主動式雲端截毒技術的資料獲知，Angler攻擊套件與Nuclear攻擊套件皆已可攻擊此漏洞；此外，據信Neutrino攻擊套件也具備同樣能力。

最近對台灣造成重大影響的勒索軟體 Ransomware也可能透過此漏洞進行攻擊，並針對重要檔案進行加密。

此外我們也觀察到已經有部分台灣網站遭受駭客入侵，利用此漏洞植入後門程式，趨勢科技用戶只要啟用網頁信譽評等服務，即可攔截這些受駭網站。

趨勢科技強烈建議您儘速安裝原廠所釋出的安全性更新或修補程式。如果您有其他問題或是需要進一步協助，請您聯絡趨勢科技技術支援部。

趨勢科技的客戶有三種方法來防護這種威脅：

趨勢科技Deep Discovery ：具備腳本分析引擎的沙箱技術可以偵測此一威脅的行為而無須更新任何引擎或特徵碼。
趨勢科技PC-cillin雲端版，趨勢科技企業安全套裝軟體和Worry-Free Business Security：瀏覽器漏洞防護功能可以在使用者連到帶有漏洞攻擊碼的網頁時加以封鎖，瀏覽器漏洞防護可以對抗針對瀏覽器或相關外掛程式的漏洞。
趨勢科技Deep Security和趨勢科技OfficeScan：漏洞防護功能現在能夠透過以下規則來防護此漏洞：
- 1006824 – Adobe Flash ActionScript3 ByteArray Use After Free漏洞

Adobe已經提供一個更新以解決此漏洞，所以任何使用Flash的人都該立刻升級。繼續閱讀

Hacking Team 的 Flash 零時差漏洞攻擊,已被收錄到漏洞攻擊套件!

2015 年 07 月 09 日2015 年 07 月 13 日趨勢科技 TrendMicro

以協助執行監控任務,出售間諜程式給各國政府與執法單位而備受爭議的Hacking Team公司,近日遭到攻擊，總量近400GB的公司內部文件與資料被公開。趨勢科技在這些檔案中發現了Hacking Team所開發的攻擊工具，目前發現的3款攻擊程式中，有兩款鎖定Flash Player的安全漏洞，一款鎖定Windows核心漏洞。(詳情)

從趨勢科技主動式雲端截毒服務 Smart Protection Network回報的資料中發現，Angler 和 Nuclear 兩個漏洞攻擊套件已經收錄了最近 Hacking Team 資料外洩當中的 Flash 零時差漏洞攻擊。不僅如此，Kafeine 網站也指出，這項零時差攻擊也已收錄到 Neutrino 漏洞攻擊套件當中。

此漏洞的存在因為 Hacking Team 的資料外洩而曝光，而 Adobe 也承認了這項漏洞並發布了安全公告。這份安全公告證實此漏洞已列入 CVE 資料庫當中，編號為 CVE-2015-5119。Adobe 安全公告更確認今日「所有」使用中的 Flash Player 版本都存在這項漏洞。Adobe 已經釋出修正程式APSB15-16,強烈建議盡更新。

所有 Flash Player 使用者皆應立即下載最新修正程式，否則將有危險。本月稍早我們即指出 Flash Player 遭漏洞攻擊套件鎖定的頻率越來越高，而這樣的趨勢似乎沒有轉變的跡象。

圖 1：Angler 漏洞攻擊套件的 HTTP GET 標頭

繼續閱讀

備收爭議的 Hacking Team 被駭 ! 流出資料中發現 Flash零時差漏洞攻擊程式

2015 年 07 月 09 日2015 年 07 月 13 日趨勢科技 TrendMicro

以協助執行監控任務,出售間諜程式給各國政府與執法單位而備受爭議的Hacking Team公司,近日遭到攻擊，總量近400GB的公司內部文件與資料被公開。曾表示不跟極權國家做生意,以販售號稱合法攔截通訊工具給政府和執法機構的義大利公司Hacking Team, 始終沒有正式公布與他們合作單位的名單，在此次洩露的文件中，包含了Hacking Team的客戶資料、財務文件、合約、內部E-mail郵件，根據International Business Time報導，使用其提供的程式的國家包含：
埃及、依索比亞、摩洛哥、奈及利亞、蘇丹、智利、哥倫比亞、厄瓜多、洪都拉斯、墨西哥、巴拿馬、美國、亞塞拜然、哈薩克斯坦、馬來西亞、蒙古、新加坡、韓國、泰國、烏茲別克斯坦、越南、澳大利亞、賽普勒斯、捷克、德國、匈牙利、義大利、盧森堡、波蘭、俄羅斯、西班牙、瑞士、巴林、阿曼、沙烏地阿拉伯、阿拉伯聯合大公國。

趨勢科技在這些檔案中發現了Hacking Team所開發的攻擊工具，目前發現的3款攻擊程式中，有兩款鎖定Flash Player的安全漏洞，一款鎖定Windows核心漏洞，且當中只有一個Flash漏洞曾被揭露。

另一款Flash零時差漏洞被Hacking Team描述為「最近4年來最完美的Flash漏洞」。在文件中發現了針對此一漏洞概念性驗證攻擊程式，它會影響各大瀏覽器及Flash Player 9以後的版本，包含最新的Adobe Flash 18.0.0.194在內。

事實上這個Flash漏洞,先前已經有幾個漏洞使用這種 valueOf 伎倆，包括被用在 Pwn2Own 2015的 CVE-2015-0349。

圖1、Hacking Team對漏洞的描述

Adobe Flash Player漏洞資訊

外洩的資料中包含一個可以啟動Windows計算機的Flash零時差概念證明碼（POC）以及一個帶有真正攻擊shellcode的正式版本。

在POC中有一個說明文件詳述了這個零時差漏洞（如下圖所示）。它指出該漏洞可以影響Adobe Flash Player 9及更新的版本，而且桌面/Metro版本的IE、Chrome、Firefox和Safari都會受到影響。外部報告指出最新版本的Adobe Flash（版本18.0.0.194）也受到影響。

圖2、Hacking Team對漏洞的描述

Adobe 也承認了這項漏洞並發布了安全公告。這份安全公告證實此漏洞已列入 CVE 資料庫當中，編號為 CVE-2015-5119。Adobe 安全公告更確認今日「所有」使用中的 Flash Player 版本都存在這項漏洞。

所有 Flash Player 使用者皆應立即下載最新修正程式，否則將有危險。Adobe 已經釋出修正程式APSB15-16,強烈建議盡更新。本月稍早我們即指出 Flash Player 遭漏洞攻擊套件鎖定的頻率越來越高，而這樣的趨勢似乎沒有轉變的跡象。

根本原因分析

說明文件還介紹了該漏洞的根本原因。這是一個ByteArray類別的Use-After-Free（UAF）漏洞:

當你有一個ByteArray物件ba，並將其給值ba[0]=Object，它會呼叫此物件的valueOf函數
這valueOf函數可以被覆寫，所以能夠變更物件valueOf函數中的ba值
如果你重新分配valueOf函數內的ba記憶體，就會導致UAF，因為ba[0]=Object會儲存原本的記憶體，並且在valueOf函數被呼叫後使用。

繼續閱讀

一個月來第3個！Adobe Flash零時差攻擊,隱藏於惡意廣告中

2015 年 02 月 03 日2015 年 09 月 09 日趨勢科技 TrendMicro

Flash Player又有零時差漏洞! 這是 Adobe在今年1月下旬相繼修補兩個Flash Player零時差漏洞之後，第三個重大漏洞,除了會導致當機外，駭客也有機會掌控受駭系統，並已傳出攻擊行動。

趨勢科技研究團隊在一波惡意廣告攻擊事件中發現了新的Adobe Flash 零時差漏洞，此漏洞影響最新版本的Adobe Flash，漏洞編號為CVE-2015-0313,趨勢科技將此漏洞偵測為SWF_EXPLOIT.MJST。

當使用者瀏覽 dailymotion.com網站時，會被導至一系列網站，最後會開啟一個惡意網站,目前趨勢科技產品已可偵測相關惡意網站。這一連串的流量引導行為是來自於相關網站的廣告平台，而非網站的內容，因此受影響的並不只是dailymotion.com，也有其他網站遭到牽連。

趨勢科技在今年的1月14日便偵測到相關攻擊，並在1月27日看到惡意網站的流量高峰，已觀察到約3294起與該攻擊程式有關的案例，建議使用者暫時關閉 Flash Player。

註：此漏洞與2015年一月份所披露的漏洞不同。

細節：
面對此類漏洞，趨勢科技建議您儘速更新原廠的漏洞修補程式，但截至目前為止，Adobe官方尚未針對此漏洞發佈安全性更新，而我們也持續監控與此漏洞可能相關的其他攻擊。此漏洞影響及於最新版的Adobe Flash Player（版本號：16.0.0.296）及前一個版本，趨勢科技建議您在安全性更新發佈之前停用或阻擋這些版本的Adobe Flash Player。同時，我們也持續與Adobe確認安全性更新的釋出時間。

繼續閱讀

【重大漏洞】Flash 零時差漏洞解析

2015 年 01 月 23 日2015 年 01 月 23 日趨勢科技 TrendMicro

這起漏洞攻擊背後的元兇應該就是 Angler 漏洞攻擊套件。過去一天之內，趨勢科技見到涉及這起零時差漏洞攻擊的 Angler 漏洞攻擊套件伺服器活動大量攀升，如下圖所示：年 1 月 20 日起，我們就陸續經由 Smart Protection Network 威脅情報網收到一些內含 Angler 漏洞攻擊套件的惡意 SWF 檔案樣本。這些樣本皆來自美國境內使用者，我們認為其中一個樣本就是資安研究人員 Kafeine 所通報的 Flash 零時差漏洞攻擊所用的惡意程式，只不過感染來源和 Kafeine 所發現的不同。