研究人员披露APT29针对iOS与Android的零点击攻击，利用已修补漏洞窃取数据

可信网站成为攻击入口

网络安全公司Sekoia的威胁研究团队11月4日公布调查，称一个被其以中高信心归因于俄罗斯APT29组织的攻击行动，利用遭入侵的网站、仿冒网站及第三方网页分析服务，向iPhone与Android设备投放恶意代码。攻击者先在网页中加入JavaScript脚本，识别访客使用的操作系统与浏览器版本，再向符合条件的设备提供对应漏洞利用链。Sekoia称，这些攻击不需要用户在网页加载后再点击链接或下载文件，因此被描述为零点击攻击；但受害者仍须访问遭入侵或仿冒的网站，不能理解为手机在任何情况下都会被远程攻破。

三种方式投放恶意脚本

Sekoia识别出三种感染路径。第一种是直接入侵合法网站并植入恶意JavaScript，涉及乌克兰一家天然气生产商、美国化工行业协会及保加利亚军事相关网站等。第二种是建立仿冒网站，在用户浏览真实网站时充当中间代理，暗中修改网页内容并注入脚本；研究人员列出的仿冒目标包括美国独立250周年纪念网站America250及伦敦Raffles酒店。第三种则是入侵乌克兰网页分析服务Plerdy的SEO Tracker，在2026年8月27日至9月3日期间，利用被修改的追踪脚本影响加载该组件的网站访客。Sekoia称，数以千计的网站曾加载该追踪组件，但这不等于数千台设备已经感染。

iPhone与Android使用不同漏洞链

Sekoia分析出三条完整攻击链。针对iOS 16.7的链条利用CVE-2025-43529及CVE-2024-27834，目标是窃取浏览器Cookie。针对iOS 18.5的链条使用五个漏洞，包括CVE-2025-43529、CVE-2026-20700、CVE-2025-14174、CVE-2025-43510及CVE-2025-43520，可收集短信、通讯软件资料、钥匙串凭证、位置资讯、照片及其他设备数据。Android链条则针对Chrome 139至145版本（不包括143），利用CVE-2026-3910及CVE-2025-27038，收集浏览器Cookie、登入资料、浏览纪录及已保存的Wi-Fi密码。

APT29归因仍是研究机构判断

Sekoia依据恶意基础设施、攻击手法、受害网站特征及与过去行动的技术重叠，以中高信心将行动归因于APT29，也称Midnight Blizzard、Cozy Bear或The Dukes。该组织被广泛认为与俄罗斯对外情报局有关。不过，Sekoia也说明，部分归因依据来自合作伙伴提供的非公开报告，外部研究人员无法独立检查全部材料。因此，APT29归因应被理解为研究团队的评估，而不是已经由政府机构公开确认的结论。

漏洞已有修补，未更新设备仍有风险

这次行动的特点并非攻击者发现了全新的零日漏洞。Sekoia表示，三条攻击链使用的都是厂商已发布修补程序的已知漏洞（n-day），攻击目标是尚未安装安全更新的设备。Google Threat Intelligence Group及Lookout此前也分析过DarkSword iOS漏洞利用链，并说明相关漏洞已由Apple陆续修补。Google Chrome针对CVE-2026-3910也发布了安全更新。用户应安装设备与浏览器可用的最新安全版本，并避免访问来历不明的仿冒网站。企业网站管理者还应检查第三方分析脚本、网站模板与外部JavaScript依赖，避免合法网站成为攻击者的投放渠道。