零時差漏洞攻擊：Magnitude 漏洞攻擊套件收錄舊版 Adobe Flash Player 零時差漏洞 CVE-2016-1019

繼 2016 年 4 月 5 日發出安全公告之後，Adobe 隨即釋出了一份緊急更新來修補一個 Adobe Flash Player 漏洞：CVE-2016-1019。趨勢科技已觀察到一些專門利用 Magnitude 漏洞攻擊套件的零時差攻擊，受影響的使用者包括 Flash 20.0.0.306 版以及更早版本的使用者。不過，這一波攻擊並不影響 Flash 21.0.0.182 及 21.0.0.197 版的使用者，因為 Adobe 已在 21.0.0.182 版當中導入了 Heap 記憶體保護機制，而 21.0.0.197 版理所當然承襲了這項功能。這兩個版本的使用者在遇到這項漏洞攻擊時只會發生 Adobe Flash 當掉的情況。

我們強烈建議所有使用者立即安裝最新的安全更新，因為目前這一波漏洞攻擊正在網路上流行。趨勢科技在安全更新釋出之前，即發現上述漏洞攻擊套件收錄了這項漏洞，並且會讓電腦感染勒索軟體。

根據我們的分析，CVE-2016-1019 是一種所謂的「類型混淆漏洞」，該漏洞會影響 Flash 20.0.0.306 以及更早的版本。不過在遇到 Flash 21.0.0.182 及 21.0.0.197 版本時，僅會造成 Flash 當掉。Adobe 從 21.0.0.182 版本開始便加入了 Heap 記憶體保護措施。

圖 1：散布 Magnitude 漏洞攻擊套件的惡意網域。

Magnitude 漏洞攻擊套件,全球流量分布,台灣排名第ㄧ

早在 2016 年 3 月 31 日，趨勢科技即經由我們 Smart Protection Network™ 的回報發現一項使用 Magnitude 漏洞攻擊套件的零時差攻擊已經收錄了這項漏洞。這項攻擊會讓系統感染 Locky勒索軟體，這是一種將惡意程式碼暗藏在文件巨集當中的加密勒索軟體。根據報導，此惡意程式曾攻擊美國肯德基州一家基督教衛理公會醫院 (Methodist Hospital) 的電腦系統。

圖 2：Magnitude 漏洞攻擊套件全球流量分布,台灣排名第ㄧ(2016 年 3 月 31 日至 4 月 6 日)。

防範 Adobe Flash 零時差漏洞攻擊的資安解決方案

製作 Magnitude 漏洞攻擊套件的駭客很快就收錄了上述安全漏洞。我們建議使用者將系統上的 Adobe Flash Player 更新到最新版本。

趨勢科技豐富完整的解決方案及技術已經能妥善保護系統、防範上述零時差攻擊的風險。例如趨勢科技PC-cillin雲端版、趨勢科技 Smart Protection Suites 及 Worry-Free Pro等端點防護產品當中的瀏覽器漏洞防護功能，可在使用者連上專門攻擊其漏洞的網址時阻止這類攻擊。

此外，趨勢科技Deep Discovery進階網路安全防護現有的沙盒模擬分析和程序碼 (Script) 分析引擎也可藉由行為來偵測這項威脅，無需更新引擎或病毒碼。

趨勢科技的趨勢科技Deep Security 和 Vulnerability Protection 則可利用下列深層封包檢查 (DPI) 規則來防止系統遭到這項漏洞攻擊的威脅：

1007572 – Adobe Flash Player Remote Code Execution Vulnerability (遠端指令執行漏洞) (CVE-2016-1019)

TippingPoint 客戶可透過下列 MainlineDV 過濾規則 (預計 4 月 12 日釋出) 來防範這項漏洞攻擊：

24253: HTTP: Adobe Flash FileReference Type Confusion Vulnerability (檔案參照類型混淆漏洞)

原文出處：Zero-Day Attack Discovered in Magnitude Exploit Kit Targeting CVE-2016-1019 in Older Versions of Adobe Flash Player作者：Peter Pi、Brooks Li 和 Joseph C. Chen
延伸閱讀:

★你付錢了嗎?別讓檔案當肉票!勒索軟體常見問題集

PC-cillin 2016雲端版已有增加對勒索軟體 Ransomware加密行為的防護機制，可預防檔案被勒索軟體惡意加密

趨勢科技PC-cillin雲端版，榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦，採用全球獨家趨勢科技「主動式雲端截毒技術」，以領先業界平均 50 倍的速度防禦惡意威脅！即刻免費下載

★針對企業用戶,趨勢科技端點解決方案亦可以偵測勒索軟體