坊間攻擊套件鎖定的10大安全漏洞，Flash就佔了6個

即時威脅情報業者Recorded Future本周公布了2016年的攻擊套件分析報告，該報告調查了坊間141個攻擊套件及其所使用的產品安全漏洞，發現這些攻擊套件所利用的十大安全漏洞中，有6個屬於Adobe Flash Player的安全漏洞，最受青睞的是編號為CVE-2015-7645的Flash安全漏洞。

Recorded Future的調查期間為去年的11月到今年的11月，調查對象為黑市所銷售的141個攻擊套件，多於去年的108個。Recorded Future表示，理解攻擊套件所利用的安全漏洞將可協助企業評估漏洞的風險等級。

攻擊套件的受害者通常是載入了被危害的網頁、廣告或是透過惡意連結連到了攻擊套件的登陸頁面，而這就是攻擊套件展開行動的起點，它們會利用HTML或JavaScript程式來辨別受害者所使用的瀏覽器與外掛程式，並藉由偷渡式下載（drive-by download）部署適用的攻擊程式。

某些攻擊套件可供周租或月租，例如Nucleus攻擊套件的周租及月租價碼分別是800美元與2000美元，品質較差的RIG則是200美元與700美元，最貴的Neutrino要價1500美元與4000美元。

十大漏洞的排名來自於漏洞與攻擊套件之間的網路參考連結數量，依序是CVE-2016-0189（IE）、CVE-2016-1019（Flash）、CVE-2016-4117（Flash）、CVE-2015-8651（Flash）、CVE-2016-0034（Silverlight）、CVE-2016-1010（Flash）、CVE-2014-4113（Windows）、CVE-2015-8446（Flash）、CVE-2016-3298（IE）及CVE-2015-7645（Flash），可發現光是Flash漏洞就佔了6個，其他則是IE、Windows與Silverlight漏洞。

Recorded Future指出，最受攻擊套件青睞的是Flash安全漏洞CVE-2015-7645，雖然這是Adobe在去年10月就緊急更新的零時差安全漏洞，但它同時影響Windows、Mac及Linux等不同的作業系統，允許駭客掌控受害者系統，再加上容易開採，因此仍被至少7個攻擊套件採用，包含知名的Neutrino與Angler。

去年現身的Sundown攻擊套件成為犯罪軟體世界的新星，Sundown一開始只是複製其他套件，後來納入了鎖定日本銀行的IE漏洞（CVE-2015-2444），更聚焦於金融木馬的植入，使得它異軍突起。

Recorded Future建議企業應儘速修補上述漏洞，或是直接移除影響關鍵商業運作的有害軟體，啟用Flash的點擊再播放（click to play）功能，考慮改用努力修補Flash漏洞的Chrome瀏覽器，擅用瀏覽器的廣告封鎖機制，以及經常備份系統，特別是容易被勒索軟體相中的共享檔案。