Skip to main content

【重大漏洞】Adobe Flash 最新零時差漏洞現身

今天早上,趨勢科技接獲一項最新消息,Adobe Flash 又出現了一個新的漏洞。此問題相當嚴重,因為影響層面幾乎遍及所有 Microsoft Windows 使用者。正因如此,我們特別在此提供一些您應該知道的事項,以及最重要的:您該如何因應。

ADOBE

當前問題

Adobe 在 Microsoft Windows 平台上的 Flash 版本被發現一個新的漏洞。駭客可經由該漏洞在您的 Windows 電腦上使用您的權限來執行惡意程式。被執行的程式將享有與您相同的權限,您可做什麼,惡意程式就可以做什麼。如此一來,駭客就能在您電腦上輕易植入更多惡意程式。

今日無時無刻都有漏洞被發現,但通常漏洞在被發現時,研究人員就會立刻開發出修補程式,讓駭客無機可乘。所以,您只要隨時保持系統更新,就能防範絕大多數漏洞。不過這次卻是緊急情況,是因為研究人員 (包括我們 TrendLabs 的研究人員) 發現,駭客已經早一步發現了這個漏洞,並且在攻擊當中利用此漏洞,而目前廠商卻還未釋出修補程式。這就是所謂的「零時差」漏洞,也就是說廠商完全沒有預先製作解藥的緩衝時間。這意味著,即使您的系統隨時保持更新,您仍然有機會遭到這項攻擊,直到 Adobe 釋出修補程式為止。

不幸的是,更嚴重的還不只這樣,因為我們看到歹徒是利用橫幅廣告來散布惡意程式,亦即所謂的「惡意廣告」(malvertisement)。也就是說,即使您瀏覽的是一個值得信賴的網站,也有可能感染到這個惡意程式。歹徒在發動這類攻擊時,會先入侵廣告供應廠商的廣告伺服器,使其惡意廣告出現在一些熱門的正常網站上,也因此讓一般使用者暴露在嚴重的風險中,算是相當危險的攻擊。

不僅如此,歹徒還開發了攻擊此漏洞的套件並在網路上販賣,讓其他網路犯罪集團也能利用該套件來發動攻擊。有了漏洞攻擊套件,攻擊將更加普遍,一個名為「Angler」的漏洞攻擊套件即包含此漏洞。

總而言之,此漏洞將出現大量攻擊,而所有的 Microsoft Windows 使用者都應知道情況的嚴重性。

如何因應

要保障自己的線上安全,使用者最重要的兩件事就是:

  • 隨時保持系統與軟體更新
  • 安裝一套成熟且功能完整的防護軟體

不過,由於這是零時差漏洞,所以第一點無法保障您的安全,因為仍要等候 Adobe 釋出修補程式。

但第二點就能確實提供保障,目前所有使用 趨勢科技 PC-cillinWorry-Free™ Business SecurityOfficeScan™Deep Discovery、 Deep Security  以及 Smart Protection Suites 的趨勢科技客戶都已能夠防範這項威脅。

未來,當 Adobe 釋出修補程式時,請盡速套用更新。

就目前來看,歹徒似乎還未攻擊 Mac 或 Android 等其他平台的 Adobe Flash。不過,若您正在使用這些平台,您也務必安裝一套防護軟體,並且盡速套用 Adobe 所釋出的任何更新。

我們將持續關注此問題的最新發展,一有消息就會在部落格上公布。

◎原文來源:

New “Zero-day” in Adobe Flash: What You Need to Know