2014年互聯(lián)網(wǎng)安全廠商年終報告匯總（國外版）上

Angler漏洞利用套件：2014年最常見的漏洞利用套件(Exploit Toolkit)，尤其在8月底非�；钴S。該套件的流行歸功于制作者解除必須下載Windows可執(zhí)行程序來分發(fā)惡意軟件的限制。Angler 配備了Flash、Java、IE、甚至SilverLight多種漏洞的利用代碼。一旦漏洞被觸發(fā)，惡意載荷直接寫入如iexplore.exe進程的內(nèi)存，而不是寫到硬盤。Angler分發(fā)的載荷看起來像一塊加密數(shù)據(jù)，更難以識別和阻斷。

Sweet Orange漏洞利用套件：非常靈活，其組件、端口及載荷URL經(jīng)常變化，所以Sweet Orange可以一直保持有效，并成功地躲避檢測。這點也讓Sweet Orange成為漏洞利用套件中“最有可能成功的”。Sweet Orange的攻擊者往往依賴惡意廣告把用戶重定向到部署漏洞利用套件的網(wǎng)站，包括合法站點。

Goon漏洞利用套件：以可靠著稱是Goon在2014年低調(diào)卻名聲不減的主要原因。相比于其他的漏洞利用套件，它還獲得“最佳組織獎”的榮譽。Goon是一個惡意軟件分發(fā)框架，可以產(chǎn)生Windows和Mac平臺瀏覽器上Flash、Java及SilverLight組件的漏洞利用。

2.威脅與漏洞：Java失寵，原因幾何

近些年，Java一直扮演著"漏洞流行風云榜"的主角。然而，對于追求最快、最簡單、最難檢測的方法來利用漏洞發(fā)起攻擊的攻擊者而言，Java正逐漸“失寵”。從2014年1月1日至2014年11月30日，排名前25的有關供應商與產(chǎn)品的漏洞警報中，僅有1個漏洞警報與Java相關。來自國家漏洞數(shù)據(jù)庫（NVD）的數(shù)據(jù)也顯示類似的衰退：2013年，NVD報告了309個Java漏洞，而2014年卻只報告了253個Java漏洞。Adobe Flash播放器和微軟IE客戶端的漏洞利用，還有針對服務器的漏洞利用已經(jīng)把Java拉下頭把交椅。

Java漏洞利用的減少一方面是2014年沒有披露新的可用Java零天漏洞，而存在漏洞的舊版JRE（Java 運行時環(huán)境）被瀏覽器默認禁用。另一方面Java最新版-Java 8-添加了人機交互的環(huán)節(jié)，如代碼簽名和請求用戶啟用Java的對話框，使得Java更難以攻擊。