Adobe Flash惹祸！Forbes.com遭骇，沦中国骇客水坑攻击平台
Invincea以图示说明整个攻击模式：骇客利用Adobe Flash漏洞偷偷将URL转址到恶意的.SWF档，当发现使用者装置载入ToTD的Adobe Flash有漏洞时就会偷偷在使用者本机上载入恶意DLL档，然后就可随意控制该机器了。
当读者造访福布斯新闻网站（Forbes.com）时，在进入网站首页之前会先载入“每日想想”（Thought of the Day）这个不大受读者欢迎的“欢迎”页面。这几天Forbes.com恐怕得真的好好想想这个“每日想想”页面的存在意义了，因为这个Adobe Flash小工具（Widget）让Frobes.com沦为中国骇客进行水坑攻击（watering hole）的平台。
水坑攻击指的是骇客并非直接攻击目标对象，而是埋伏在目标可能会造访的网站，先感染合法的网站并守株待兔。资安业者iSIGHT Partners与Invincea最近发现，当目标对象造访Forbes.com时，骇客就会透过偷渡式下载将恶意程式植入目标对象的电脑上。而这次骇客利用了Adobe Flash与IE的安全漏洞来入侵使用者电脑，而且专门锁定来自金融、国防等网域的使用者。
Invincea是在去年的11月发现美国一家国防公司在造访福布斯网站时有些问题，骇客绕过该公司的层层防御并准备部署锁定Flash的零时差攻击程式。随后的分析显示，骇客锁定了来自国防及金融等特定网域的使用者，以取得使用者系统的掌控权，然后渗透到该公司的网域。根据Alexa网络流量排序服务，福布斯网站在全美的流量排名第61，在全球则是第168名。
这项攻击行动主要先是感染Forbes.com的Thought of the Day（ToTD）。ToTD是一个Adobe Flash小工具（widget），读者造访Forbes.com时会先让ToTD这个“欢迎”页面阻挡下来，停下来想想之后才能够进入首页。但Adobe Flash的parseFloat 功能有漏洞，也就是在去年12月9日才释出修补程式的CVE-2014-9163。
↓ 进入Forbes.com之前要先经过“每日想想”这一关，这个Adobe Flash功能却成为中国骇客集团水坑攻击的工具。
Invincea表示，骇客利用Adobe Flash漏洞偷偷将URL转址到恶意的.SWF档，当发现使用者装置载入ToTD的Adobe Flash有漏洞时就会偷偷在使用者本机上载入恶意DLL档，然后就可随意控制该机器了。
↓ iSIGHT Partners也以图示说明骇客集团如何利用Forbes.com上的Adobe Flash漏洞及使用者端的IE漏洞感染使用者电脑。
iSIGHT Partners指出，他们至少在2014年11月28日至12月1日期间都观察到这个恶意行动，但iSIGHT Partners强调，这只是他们看到的，至于没看到的范围有多大就不得而知，而且相信活动期间应该会更长。
iSIGHT Partners与Invincea都认为执行相关攻击的是中国的Codoso骇客团队。iSIGHT Partners从2010年以来便持续追踪Codoso的间谍行为，Codoso锁定国防、金融、能源、政府等领域，以及政治异己或全球意见领袖进行攻击。
骇客攻击所利用到的漏洞除了Adobe Flash漏洞CVE-2014-9163，还有编号为CVE-2015-0071的IE浏览器mitigation bypass漏洞。CVE-2014-9163漏洞已在去年的12月修补，CVE-2015-0071漏洞也已经于本周二（2/10）释出。iSIGHT Partners表示，已修补CVE-2014-9163漏洞的使用者将不会再受到相关攻击的影响，而CVE-2015-0071漏洞本身并没有被攻击的风险，只是被用来协助攻击。
除了福布斯新闻网站之外，至少还有其他3个网站成为Codoso的水坑攻击媒介，这些网站的属性多半与中国政策相悖，例如其中一个是支持香港民主活动的网站。（编译/陈晓莉）
相关报导：
- Flash Player又有零时差漏洞，一个月来第3个！
- 思科安全报告：Java攻击程式数量下滑，Silverlight成为新目标
