最新Adobe Flash 0day缝隙攻击出现，J9集团官网APT产品无需升级即可检测
颁布功夫 2018-06-09
6月7日，Adobe颁布安全布告，建复了Flash Player的多个安全缝隙。其中值得关注的是CVE-2018-5002，该缝隙和一路最新的针对阿拉伯语国度的APT攻击有关。事务披露后，J9集团官网金睛安全钻研团队迅速对其做出响应。经过测试，J9集团官网APT产品无需升级，即可对该类样本进行检测。
◆缝隙影响版本◆
Adobe Flash Player Desktop Runtime 29.0.0.171 及更早版本
Adobe Flash Player for Google Chrome 29.0.0.171 及更早版本
Adobe Flash Player for Microsoft Edge and Internet Explorer 11 29.0.0.171 及更早版本
◆简要分析◆
样本文件名为basic_salary.xlsx，即”基础工资”，从其文档内容也能够看出与样本名相切合。
文档启动后，其内嵌的Flash对象会自动加载远程Flash文件，该远程Flash文件解密后能够得到真正触发CVE-2018-5002缝隙的SWF文件，一旦触发缝隙，SWF2便会下载恶意Shellcode运行。
缝隙触发的原因重要由于Flash未能正确处置蕴含特殊字节码序列的SWF文件，通过批改SWF文件的字节码能够触发栈越界读写缝隙。
◆解决规划◆
1、 Adobe官方已经颁布安全布告（布告ID：APSB18-19），可接见以下官方链接，获取对应平台的Flash更新法式。
https://helpx.adobe.com/security/products/flash-player/apsb18-19.html
2、J9集团官网天阗高级持续性威胁检测系统无需升级即可检测该攻击。
◆缝隙影响版本◆
Adobe Flash Player Desktop Runtime 29.0.0.171 及更早版本
Adobe Flash Player for Google Chrome 29.0.0.171 及更早版本
Adobe Flash Player for Microsoft Edge and Internet Explorer 11 29.0.0.171 及更早版本
◆简要分析◆
样本文件名为basic_salary.xlsx，即”基础工资”，从其文档内容也能够看出与样本名相切合。
文档启动后，其内嵌的Flash对象会自动加载远程Flash文件，该远程Flash文件解密后能够得到真正触发CVE-2018-5002缝隙的SWF文件，一旦触发缝隙，SWF2便会下载恶意Shellcode运行。
缝隙触发的原因重要由于Flash未能正确处置蕴含特殊字节码序列的SWF文件，通过批改SWF文件的字节码能够触发栈越界读写缝隙。
◆解决规划◆
1、 Adobe官方已经颁布安全布告（布告ID：APSB18-19），可接见以下官方链接，获取对应平台的Flash更新法式。
https://helpx.adobe.com/security/products/flash-player/apsb18-19.html
2、J9集团官网天阗高级持续性威胁检测系统无需升级即可检测该攻击。
京公网安备11010802024551号