近日，騰訊御見(jiàn)威脅情報(bào)中心監(jiān)測(cè)到一例使用Flash 0day漏洞的APT攻擊，攻擊者在特別構(gòu)造的excel文檔中嵌入flash對(duì)象，用戶(hù)打開(kāi)文檔即會(huì)中毒。騰訊安全已第一時(shí)間向Adobe官方上報(bào)該漏洞利用樣本，隨即獲得Adobe官方確認(rèn)。

從截獲的APT攻擊樣本來(lái)看，目標(biāo)疑似某使用阿拉伯語(yǔ)的國(guó)家要害部門(mén)，攻擊者的意圖或在于獲取商業(yè)機(jī)密、刺探國(guó)家情報(bào)。對(duì)此，騰訊企業(yè)安全技術(shù)專(zhuān)家提醒各級(jí)政府機(jī)關(guān)、企業(yè)等廣大用戶(hù)，及時(shí)將電腦中的Flash player更新到最新版本，企業(yè)用戶(hù)可使用騰訊御界等安全軟件來(lái)保護(hù)終端系統(tǒng)安全。

（騰訊御界高級(jí)威脅檢測(cè)系統(tǒng)實(shí)時(shí)檢測(cè)APT攻擊威脅）

近年來(lái)，伴隨國(guó)際貿(mào)易和各種交流的日益密切，互聯(lián)網(wǎng)在為跨國(guó)企業(yè)和國(guó)家之間提供高效的溝通工具的同時(shí)，也帶來(lái)了新的安全威脅：以獲取商業(yè)機(jī)密、刺探國(guó)家情報(bào)為目的的黑客攻擊，越來(lái)越多地出現(xiàn)在跨國(guó)企業(yè)和國(guó)家之間的不正當(dāng)競(jìng)爭(zhēng)之中。

在騰訊御見(jiàn)威脅情報(bào)中心監(jiān)測(cè)到的這起攻擊案例中，攻擊者使用Flash 0day漏洞發(fā)起APT攻擊，使用的誘餌excel表格文件內(nèi)容為阿拉伯語(yǔ)言撰寫(xiě)的外交部官員基本工資情況，可推測(cè)為針對(duì)某阿拉伯語(yǔ)國(guó)家或地區(qū)的政府要害部門(mén)的攻擊。對(duì)于從未被公開(kāi)過(guò)技術(shù)細(xì)節(jié)的0day高危漏洞，在相關(guān)廠商修復(fù)之前，幾乎無(wú)法做到有效防御，可見(jiàn)攻擊者手段惡劣。

（騰訊御見(jiàn)威脅情報(bào)中心捕獲的攻擊樣本誘餌文檔）

騰訊御見(jiàn)威脅情報(bào)中心分析發(fā)現(xiàn)，攻擊者在誘餌文檔中嵌入一個(gè)在線的Flash對(duì)象，用戶(hù)打開(kāi)文檔后會(huì)自動(dòng)加載該Flash文件（簡(jiǎn)稱(chēng)SWF1），而SWF1會(huì)通過(guò)網(wǎng)絡(luò)動(dòng)態(tài)下載帶有0day漏洞攻擊代碼的另一個(gè)Flash文件（簡(jiǎn)稱(chēng)SWF2）。SWF1和SWF2文件中的代碼均使用了高度混淆技術(shù)，其通過(guò)網(wǎng)絡(luò)獲取到的數(shù)據(jù)做了加密處理，通過(guò)多個(gè)復(fù)雜的技術(shù)手法，實(shí)現(xiàn)在被攻擊目標(biāo)的電腦上最終啟動(dòng)一個(gè)木馬，令黑客成功入侵，更多的情報(bào)刺探和破壞行動(dòng)隨之而來(lái)。

（該Flash 0day漏洞野外攻擊流程）

憑借基于行為的防護(hù)和智能模型兩大核心能力，騰訊御界高級(jí)威脅檢測(cè)系統(tǒng)已經(jīng)可以檢測(cè)并阻斷該輪Flash 0day漏洞野外攻擊連接行為。通過(guò)對(duì)企業(yè)內(nèi)外網(wǎng)邊界處網(wǎng)絡(luò)流量的分析，御界高級(jí)威脅檢測(cè)系統(tǒng)可高效檢測(cè)未知威脅，并及時(shí)感知漏洞的利用和攻擊。

目前該Flash 0day漏洞攻擊并未在國(guó)內(nèi)發(fā)現(xiàn)，但用戶(hù)同樣不可放松警惕。騰訊企業(yè)安全技術(shù)專(zhuān)家建議廣大政府、企業(yè)用戶(hù)，切勿隨意打開(kāi)來(lái)歷不明的文檔，推薦部署御界高級(jí)威脅檢測(cè)系統(tǒng)，及時(shí)感知惡意流量，檢測(cè)釣魚(yú)網(wǎng)址和遠(yuǎn)控服務(wù)器地址在企業(yè)網(wǎng)絡(luò)中的訪問(wèn)情況，實(shí)時(shí)保護(hù)企業(yè)網(wǎng)絡(luò)信息安全。