Recorded Future 公司发布报告，说明了2018年最受攻击者欢迎的十大漏洞，并指出其中八个漏洞影响微软产品，仅有排名第二的漏洞是Adobe漏洞以及排名第九的漏洞是安卓漏洞。

RecordedFuture 公司的数据源自数千个不同来源，包括代码库、暗网论坛帖子和暗网洋葱站点。该公司的目的是弥补当前风险分析缺失的一环。漏洞数据库提供了漏洞信息，但并未披露漏洞是否遭利用以及遭利用的程度是什么。

值得注意的是，一些最为人熟知的漏洞如“永恒之蓝”和“Spectre/Meltdown”并不在列表内，原因是这些漏洞仅被数量有限的国家黑客而非大量犯罪分子所利用。报告指出，“虽然经常提到永恒之蓝利用 (MS17-010)，但并未被地下犯罪分子利用或作为其它利用包的一部分进行出售。而 Spectre 虽然出现在多个钓鱼攻击案例中，但并未遭犯罪分子大规模利用。”

漏洞的平均生命周期是7年

通过了解最活跃的威胁，安全团队能够优先处理急需修复的系统或者采取其它缓解措施。RAND 公司在2017年的 0day 威胁分析报告中指出，漏洞平均具有长达七年的生命周期，2018年遭利用最严重的漏洞几乎可以肯定将在2019年继续遭利用。

例如2017年被利用最严重的漏洞 CVE-2017-0199 仍然是2019年遭利用的第五大漏洞。2016年遭利用最严重的漏洞 CVE-2016-0189 仍然在2018年排第六，被5个不同的利用包所使用。而该列表上的最老旧漏洞在2012年就存在，而且仍然出现在今天的利用包中。

EK 和 RAT 的发展情况

RecordedFuture 公司的分析报告还查看了利用包 (EK) 和远程访问木马 (RAT) 的情况。在这两种情况中，新开发的 EK 数量持续下降。2017年，新开发的 EK 数量为10个，而在2018年减少为5个。暗网上最常被引用的 EK 是 Threadkit （首次在2017年出现）。Threadkit 包含2018年十大漏洞其中的四个微软漏洞（CVE-2018-4878、CVE-2017-11882、CVE-2017-0199 和 CVE-2017-8570），而且在2018年12月的售价为400美元。它最近的更新时间是暗网论坛上的用户 mrbass 在2018年12月28日将漏洞 CVE-2018-15982 包含在内。而这也是 Adobe 漏洞首次被列入十大漏洞之内的情况。

该报告中唯一重点说明的两款勒索软件是 Gandcrab 和 Hermes。Gandcrab 通过 Fallout 和 Grandsoft EK 进行传播，是典型的消费者勒索软件。最近还有报告指出，GandCrab 被越来越多地用于攻击企业。有意思的是 BitDefender 公司发布报告称，朝鲜“黑客通过包含 BandCrab 勒索软件的邮件攻击中国政府部门。”然而这种归属仅仅是因为邮件头部使用了一个朝鲜名字，仅此而已。Hermes 通过 Adobe 漏洞进行传播。

2017年新出现的 RAT 数量为47个，2018年仅为35个。

RecordedFuture 公司的威胁情报分析师 Allan Liska 表示，从 EK 转移可能和针对性攻击数量的增长有关。他不认为这说明复杂犯罪分子的数量要多于脚本小子的数量。他指出，“网络犯罪即服务的增长使得不太懂技术的犯罪分子也能轻松发动针对性攻击。EK 使用下降的另外一个原因是它们的效率降低。它们主要用于浏览器中，而可用的浏览器利用数量更少。仍然保持效率的一些 EK 的使用次数更多，只是因为它们仍然在起作用。”

2018年，犯罪分子对 Adobe 漏洞的使用也在减少。2015年和2016年，遭利用最严重的漏洞是 Adobe 漏洞，而在2018年，仅有1个漏洞上榜。研究人员认为这是因为2020年，Adobe  Flash 将遭弃用。但在2018年年末 CVE-2018-15982 出现且在2019年1月，Threadkit EK 也包含在内。

给安全团队的建议：Chrome 更安全

该报告还为安全团队提出几点建议。首先是“优先修复本文提到的漏洞”。余下的多数建议是非常标准的“良好实践”，不过有两条建议稍有不同寻常：考虑使用 Chrome 浏览器并使用广告拦截器。

Liska 表示，“目前，Chrome 的追踪记录良好。每款浏览器都存在利用，它们是其中之一（如不是唯一）被针对的软件。我们看到的情况是 Chrome 在修复新漏洞方面较为迅速，而且所有的版本都具有自动更新功能，因此能够相对快速地进行更新。Chrome 不存在很多未修复的版本，而且谷歌已经构建了很多其它保护措施。当在 Chrome 中发现漏洞时，我们的研究结果显示这些漏洞难以遭利用。因此，单从安全角度而言，Chrome 是一个出色的浏览器。”

遭利用的第二大漏洞即唯一上榜的 Adobe 漏洞主要通过恶意广告进行传播，而这种传播方式是一种持久且不易被察觉的威胁。

遭利用的十大漏洞

遭利用的十大漏洞如下：

1.     CVE-2018-8174–微软

2.     CVE-2018-4878– Adobe

3.     CVE-2017-11882–微软

4.     CVE-2017-8750–微软

5.     CVE-2017-0199–微软

6.     CVE-2016-0189–微软

7.     CVE-2017-8570–微软

8.     CVE-2018-8373–微软

9.     CVE-2012-0158–微软

10.  CVE-2015-1805 –谷歌安卓

本文由360代码卫士翻译自SecurityWeek

声明：本文来自代码卫士，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。