2014年互联网安全厂商年终报告汇总（国外版）上

Angler漏洞利用套件：2014年最常见的漏洞利用套件(Exploit Toolkit)，尤其在8月底非常活跃。该套件的流行归功于制作者解除必须下载Windows可执行程序来分发恶意软件的限制。Angler 配备了Flash、Java、IE、甚至SilverLight多种漏洞的利用代码。一旦漏洞被触发，恶意载荷直接写入如iexplore.exe进程的内存，而不是写到硬盘。Angler分发的载荷看起来像一块加密数据，更难以识别和阻断。

Sweet Orange漏洞利用套件：非常灵活，其组件、端口及载荷URL经常变化，所以Sweet Orange可以一直保持有效，并成功地躲避检测。这点也让Sweet Orange成为漏洞利用套件中“最有可能成功的”。Sweet Orange的攻击者往往依赖恶意广告把用户重定向到部署漏洞利用套件的网站，包括合法站点。

Goon漏洞利用套件：以可靠著称是Goon在2014年低调却名声不减的主要原因。相比于其他的漏洞利用套件，它还获得“最佳组织奖”的荣誉。Goon是一个恶意软件分发框架，可以产生Windows和Mac平台浏览器上Flash、Java及SilverLight组件的漏洞利用。

2.威胁与漏洞：Java失宠，原因几何

近些年，Java一直扮演着"漏洞流行风云榜"的主角。然而，对于追求最快、最简单、最难检测的方法来利用漏洞发起攻击的攻击者而言，Java正逐渐“失宠”。从2014年1月1日至2014年11月30日，排名前25的有关供应商与产品的漏洞警报中，仅有1个漏洞警报与Java相关。来自国家漏洞数据库（NVD）的数据也显示类似的衰退：2013年，NVD报告了309个Java漏洞，而2014年却只报告了253个Java漏洞。Adobe Flash播放器和微软IE客户端的漏洞利用，还有针对服务器的漏洞利用已经把Java拉下头把交椅。

Java漏洞利用的减少一方面是2014年没有披露新的可用Java零天漏洞，而存在漏洞的旧版JRE（Java 运行时环境）被浏览器默认禁用。另一方面Java最新版-Java 8-添加了人机交互的环节，如代码签名和请求用户启用Java的对话框，使得Java更难以攻击。