Silverlight 為何成為攻擊目標？
Silverlight 曾因普及率較低而倖免於難，但隨著 Netflix 採用其串流技術，安裝基數暴增。攻擊者轉向這個「新疆場」：Fiesta、Nuclear、RIG、Angler 等漏洞利用套件已整合 Silverlight 攻擊模組，專門針對沙箱逃逸漏洞（CVE-2016-0034、CVE-2016-4117 等）。
攻擊鏈剖析
- 誘騙造訪： 透過釣魚郵件、即時通訊連結或惡意廣告導向惡意頁面。
- 指紋偵測： 頁面腳本檢測瀏覽器是否安裝 Silverlight 及版本號。
- 漏洞觸發： 載入精心構造的 XAP 應用程式，利用記憶體損壞漏洞突破沙箱，執行 Shellcode。
- 植入惡意碼： 下載並執行勒索軟體、銀行木馬或遠端控制後門。
企業級防禦策略
1. 修補優先級最高
- 透過 WSUS/SCCM/Intune 強制推送 Silverlight 更新，禁止使用者延遲或關閉自動更新。
- 若業務不需 Silverlight，透過群組原則或 MDM 徹底移除/停用。
2. 瀏覽器層面防護
- 啟用 Click-to-Play（點擊啟動外掛），減少自動載入風險。
- 部署網頁過濾閘道，阻擋已知惡意 URL 與動態產生的惡意域名。
3. 端點防禦深度
- 新一代防毒（NGAV）需具備針對 Silverlight 漏洞利用的啟發式/行為偵測規則。
- 啟用 EMET/Windows Defender Exploit Guard（CFG、ACG、EAF 等緩解技術）。
4. 使用者教育
- 定期演練釣魚郵件辨識，強調「不點擊不明連結」。
- 宣導惡意廣告風險，建議安裝廣告攔截擴充功能。
5. 內部開發應用程式安全
- 開發團隊必須審視 HTML Bridge、本地訊息等跨域介面的攻擊面。
- 採用簽名驗證，僅載入受信任組件；應用程式採最小權限原則運行。
結語
Silverlight 雖逐漸退出歷史舞台，但存量裝置龐大，攻擊者仍將持續投入資源。企業應採「修補、隔離、監控、教育」四位一體策略，將攻擊面壓縮至最小。