Flash零時攻擊現蹤，Adobe忙修補

Adobe發出安全公告修補Windows、Mac、Linux及 Chrome OS版一項已經出現精準攻擊的重大Flash安全漏洞。

Adobe指出，上述作業系統的Adobe Flash Player 21.0.0.242及以前的版本存在CVE-2016-4171，目前該公司發現網路上已經有針對這項漏洞發動的精準攻擊，可導致受害電腦當機，並使駭客取得系統控制權。Adobe將該漏洞風險列為重大，並預計最快在6月16日於本月的安全更新中加以修補。

首先發現攻擊行動的 卡巴斯基安全研究室（Kaspersky Labs）相信這是一個名為ScarCruft的團體所為。它是最近才出現的進階持續性威脅（APT）的駭客組織；除了本次行動外，研究員Costin Raiu指出，這個組織今年內還策劃兩次Adobe Flash Player與一次微軟Internet Explorer (IE)的持續性攻擊。其中，兩次Flash攻擊名為破曉行動（Operation Daybreak）及冥界行動（Operation Erubus）乃於2016年3月間同時發動，分別攻擊Flash Player一個零時攻擊及舊漏洞CVE-2016-4117，前者更鎖定知名企業而來。

此外，該組織也可能涉及4月間針對Flash Player CVE-2016-0147的零時攻擊。安全公司指出，ScarCruft的受害者遍及俄羅斯、羅馬尼亞、南韓、中國、印度等多個國家。

卡巴斯基也證實微軟安全軟體Microsoft EMET可以防範這波攻擊。使用者也可關閉Flash Player防止入侵。

有鑒於Flash Player長期以來的安全性及效能問題，蘋果也宣佈最新版作業系統macOS Sierra中的Safari 10將預設關閉Flash外掛。